Google baru-baru ini mengumumkan bahwa mereka telah menghentikan sementara penerimaan laporan kerentanan produk melalui program Open Source Software Vulnerability Reward Program (OSS VRP). Keputusan ini diambil setelah mengalami lonjakan signifikan dalam jumlah laporan otomatis yang dihasilkan oleh kecerdasan buatan (AI).
Peningkatan Laporan Otomatis
Berdasarkan laporan yang pertama kali diungkap oleh TechRadar, perubahan ini mulai berlaku sejak 1 Oktober 2026. Google menyatakan bahwa sebagian besar laporan otomatis yang diterima tidak valid. Oleh karena itu, mereka berencana untuk merevisi bagian dari program ini selama beberapa bulan ke depan sebelum memberikan pembaruan lebih lanjut pada kuartal pertama 2027.
Masalah yang Dihadapi oleh Google
Walaupun Google telah banyak merayakan keberhasilan sistem keamanan AI mereka dalam menemukan kerentanan, situasi ini mengungkapkan tantangan baru. Sejak bulan Maret, perusahaan telah mencatat adanya lonjakan besar dalam laporan yang dihasilkan oleh AI. Beberapa laporan berisi penjelasan yang tidak akurat tentang bagaimana kerentanan dapat dipicu, sementara yang lain menunjukkan kesalahan pemrograman yang nyata namun tidak berdampak signifikan terhadap keamanan.
Upaya Perbaikan dan Pengaturan Ulang
Dalam menghadapi masalah ini, Google telah memperketat aturan untuk beberapa laporan, dengan mengharuskan bukti yang lebih kuat dan mengurangi penghargaan untuk kerentanan tingkat rendah. Meskipun begitu, proyek GrapheneOS memperingatkan bahwa tekanan yang dihadapi Google lebih dari sekadar laporan penghargaan. Mereka mengklaim bahwa Google telah menjadi "sepenuhnya kewalahan" oleh kerentanan yang ditemukan oleh model AI, baik yang berasal dari internal maupun eksternal.
Dampak pada Keamanan Android
Volume laporan ini berdampak pada bagaimana perbaikan keamanan Android ditangani dan diterapkan. Meskipun Google masih berkomitmen pada pencarian bug yang didukung AI, mereka kini harus menghadapi tantangan baru di mana mesin dapat menemukan bug dengan cara yang jauh lebih mudah. Ini mengharuskan tim untuk memilah dan menentukan mana yang benar-benar perlu diperbaiki.
Keberhasilan AI dalam menemukan kerentanan memang patut dirayakan, namun saat ini Google harus menghadapi realitas dari pencapaian tersebut dan melakukan perubahan yang diperlukan untuk mengelola laporan yang masuk.
Sumber: https://www.androidauthority.com/google-pauses-bug-bounty-program-3719516/
