ACEH — Google menghentikan sementara program bug bounty Open Source Software Vulnerability Rewards Program (OSS VRP) sejak 1 Oktober 2026 akibat lonjakan laporan otomatis berbasis AI yang mayoritas tidak valid. Perusahaan menjadwalkan evaluasi nasib program ini pada kuartal pertama 2027, sementara peneliti keamanan diarahkan ke program bug bounty Google lainnya. Langkah ini menandai konsekuensi nyata pertama dari fenomena "AI slop" di sektor keamanan siber global.
Keputusan ini bukan tanpa peringatan sebelumnya. Sepanjang 2026, tim keamanan Google mencatat perubahan pola pelaporan yang signifikan dari komunitas peneliti independen, terutama sejak model bahasa besar makin mudah diakses untuk memindai basis kode secara otomatis.
Google pertama kali mengubah aturan OSS VRP pada Maret 2026 setelah mendeteksi lonjakan besar laporan yang dihasilkan dengan bantuan AI. Saat itu, perusahaan mengidentifikasi dua persoalan utama yang berbeda karakter.
Pertama, muncul laporan berisi informasi keliru atau halusinasi mengenai cara sebuah kerentanan dieksploitasi. Kedua, ada laporan yang memang menemukan kesalahan dalam kode, misalnya buffer overflow, tetapi nyaris tidak berdampak pada keamanan karena kode tersebut tidak dapat dijangkau atau tidak relevan dengan model keamanan proyek.
Google menegaskan AI sebenarnya berguna bagi peneliti keamanan untuk menemukan potensi kerentanan. Persoalan muncul ketika hasil AI langsung dikirim tanpa divalidasi manusia terlebih dahulu.
Sebelum memutuskan penghentian sementara, Google sempat memperketat syarat pelaporan. Untuk sejumlah proyek penting, laporan kerusakan memori wajib dilengkapi bukti reproduksi menggunakan OSS-Fuzz atau patch yang sudah digabungkan.
Perusahaan juga mengurangi atau menghapus hadiah untuk sejumlah kategori laporan pada proyek dengan prioritas lebih rendah. Langkah tersebut ternyata belum cukup menahan volume laporan yang masuk.
"Penghentian sementara ini disebabkan oleh peningkatan signifikan dalam laporan otomatis, yang sebagian besarnya tidak valid," kata Google, sebagaimana dikutip dari TechCrunch, Senin (5/10/2026).
Selama program dihentikan, Google menyarankan peneliti keamanan mengikuti program bug bounty mereka yang lain. Perusahaan berencana memberikan pembaruan mengenai nasib OSS VRP pada kuartal pertama 2027.
Fenomena ini memperlihatkan sisi lain penggunaan AI dalam keamanan siber. AI dapat mempercepat pencarian potensi bug, tetapi kemampuan menghasilkan laporan dalam jumlah besar juga menciptakan AI slop yang justru menambah beban kerja tim keamanan.
Bagi pelaku bisnis digital di Indonesia yang mengandalkan komponen open source, penghentian OSS VRP berarti salah satu jalur pelaporan kerentanan gratis untuk proyek Google sementara tertutup. Tim keamanan internal perlu mengandalkan pemindaian mandiri atau layanan pihak ketiga selama periode ini.
Penghentian ini tidak menutup seluruh program bug bounty Google. Yang dihentikan sementara hanya OSS VRP untuk pelaporan kerentanan pada software open-source Google, sedangkan program keamanan lainnya masih dapat diikuti peneliti.