Analisis Penangguhan Google OSS VRP: Validasi Masih Langka

Kotak masuk bug bounty selalu menjadi rawa kecil yang aneh: eksploit nyata, kesalahpahaman yang antusias, laporan duplikat, dan sesekali tangkapan layar dengan nilai forensik setara kentang. Google baru saja memasang pagar sementara di sekitar sebagian rawa itu. Bukan karena para peneliti berhenti menemukan bug, tetapi karena mesin membuat pengiriman noise dalam skala industri menjadi terlalu murah.

Untuk sekali ini, ini bukan insiden kebocoran dengan pernyataan permintaan maaf yang sudah dilaminasi. Ini adalah cerita kegagalan proses, yang entah bagaimana lebih berguna dan tidak terlalu sinematik. Pelajarannya tegas: ketika AI membuat pembuatan laporan menjadi murah, bagian yang mahal adalah membuktikan bahwa ada sesuatu di tumpukan itu yang benar-benar nyata.

Apa yang Terjadi: Antrean Bounty Menabrak Tembok Spam

Menurut dev.ua, Google menangguhkan laporan di bawah Open Source Vulnerability Rewards Program mulai 1 Oktober 2026, setelah terjadi lonjakan tidak normal dalam laporan yang dibuat oleh AI, yang sebagian besarnya tidak valid. BleepingComputer melaporkan jeda yang sama untuk pengiriman OSS VRP dan mengatakan program tersebut mencakup proyek open source yang dikelola Google termasuk Golang, Angular, Bazel, Protocol Buffers, dan Fuchsia, bersama dependensi pihak ketiga yang kritis dan pengaturan repositori. Google meluncurkan OSS VRP pada Agustus 2022, menurut BleepingComputer, dengan hadiah mulai dari $100 hingga $31.337 untuk celah keamanan dengan dampak signifikan terhadap rantai pasok perangkat lunak.

@title Bagaimana spam AI menyumbat triase
@source BleepingComputer
@source Neowin

  AI reports
     │
     ▼
  Mostly invalid
     │
     ▼
  Human review
     │
     ├─ OSS product pause
     ├─ Supply chain continues
     ├─ Cloud VRP continues
     └─ Patch Rewards continues

@caption Google menjeda laporan produk OSS sementara jalur pelaporan lain tetap terbuka.

Kutipan kuncinya, melalui BleepingComputer, adalah jenis kalimat korporat yang tenang tetapi menyembunyikan ruang triase penuh orang yang menatap jurang lampu neon: "Kami untuk sementara tidak lagi menerima pengiriman kerentanan produk OSS VRP. Ini tidak berdampak pada laporan rantai pasok OSS VRP, atau laporan apa pun yang masih berjalan." Google juga mengatakan, menurut laporan yang sama, "Jeda ini disebabkan oleh peningkatan signifikan dalam pengiriman otomatis, yang sebagian besar tidak valid." Terjemahannya: pemindai menemukan bayangan, menulis novella, dan manusia tetap harus memeriksa apakah naganya benar-benar ada.

Radius Dampaknya: Lebih Sempit Daripada Kesan Judulnya

Neowin melaporkan bahwa pembekuan ini memengaruhi pelaporan bug open source hingga kuartal pertama 2027, tetapi hanya untuk pengiriman kerentanan produk di bawah kerangka OSS VRP. Perbedaan itu penting, karena program pengungkapan kerentanan bukanlah satu tombol merah raksasa bertuliskan panik. BleepingComputer melaporkan bahwa laporan rantai pasok OSS VRP dan laporan yang masih berjalan tidak terdampak, dan bahwa peneliti masih dapat menggunakan pengiriman Google Patch Rewards Program untuk perbaikan open source, dengan bounty hingga $15.000 untuk perbaikan berdampak tinggi.

BleepingComputer juga melaporkan bahwa kerentanan di repositori open source Google Cloud yang memengaruhi produk Cloud masih dapat melewati Cloud VRP. Jadi kesimpulan berguna bagi pembaca bukanlah bahwa Google meninggalkan keamanan open source. Kesimpulannya adalah satu jalur penerimaan tersumbat begitu parah sehingga Google menutupnya sementara, sambil membiarkan jalur lain tetap terbuka, seperti rumah sakit yang mengalihkan kasus tidak mendesak karena ruang tunggunya penuh dengan bagan buatan AI yang mendiagnosis semua orang terkena demam mercusuar.

Ekonominya: AI Membuat Laporan Murah, Validasi Tetap Mahal

Neowin melaporkan bahwa para maintainer kewalahan oleh ribuan laporan palsu dan bahwa setiap laporan harus diperiksa oleh manusia, yang menyebabkan burnout. Itulah cerita sebenarnya. AI tidak secara ajaib menciptakan kerentanan terverifikasi dengan laju yang sama seperti ia menciptakan pengiriman yang terdengar meyakinkan, dan meyakinkan adalah kata yang berbahaya dalam keamanan karena hanya butuh satu pergantian kostum untuk membuang waktu seminggu.

Program bug bounty dulu mengasumsikan adanya sejumlah gesekan: menemukan bug, mereproduksinya, menulis laporan, dan menjelaskan dampaknya membutuhkan usaha. AI menurunkan biaya pekerjaan administratif dan terkadang penemuan tahap awal, tetapi AI tidak otomatis menurunkan biaya validasi. Hambatannya bergeser dari volume penemuan ke kualitas sinyal, dan jika proses penerimaan Anda membayar pajak perhatian yang sama untuk omong kosong seperti untuk eksploit yang benar-benar bekerja, selamat, Anda membangun kerentanan denial of service di antrean triase Anda sendiri.

Apa Arti Sebenarnya Bagi Anda

Bagi pembangun dan pemimpin keamanan, jeda Google yang dilaporkan oleh BleepingComputer dan dev.ua adalah studi kasus yang berguna dalam merancang program pengungkapan untuk dunia yang jenuh AI. Formulir penerimaan perlu memberi penghargaan pada reproduksibilitas, bukti dampak, contoh kerja minimal, dan komponen terdampak yang jelas, bukan sekadar prosa yang penuh percaya diri. Program juga mungkin membutuhkan cakupan yang lebih tajam, pemeriksaan validasi sebelum pengiriman, pembobotan reputasi peneliti, dan jalur penolakan yang lebih cepat untuk laporan yang tidak dapat menunjukkan adanya batas keamanan nyata yang dilewati.

Bagi peneliti, pesannya sama praktisnya: bantuan AI bukanlah dosa, pengiriman bersinyal rendahlah masalahnya. Jika sebuah alat membantu Anda memeriksa kode, bagus, selamat datang di cara kerja modern. Tetapi jika laporan akhir tidak dapat menjelaskan jalur yang rentan, dampaknya, dan langkah-langkah untuk mereproduksinya, itu bukan riset, itu konfeti dengan topi berbentuk CVE.

Hal berikutnya yang perlu diperhatikan adalah bagaimana Google menyesuaikan ulang OSS VRP sebelum jeda dicabut, yang menurut BleepingComputer sedang dikerjakan oleh Google. Jika Google menemukan filter yang lebih baik, maintainer lain akan menirunya, karena tidak ada yang ingin meja bug bounty mereka berubah menjadi tumpukan kompos AI. Internet tidak diselamatkan hanya oleh lebih banyak laporan; internet diselamatkan oleh laporan yang tervalidasi dan dapat ditindaklanjuti, yang memungkinkan manusia memperbaiki hal yang tepat sebelum orang yang salah menyadarinya.