Google Hentikan Sementara Program Bug Bounty Open Source, Ini Sebabnya

Google resmi membekukan sementara program bug bounty untuk proyek open source miliknya. Keputusan ini diambil setelah perusahaan mencatat lonjakan signifikan dalam pengajuan laporan kerentanan yang dihasilkan oleh AI, yang sayangnya sebagian besar berkualitas rendah dan memakan waktu peninjauan.

Langkah ini bukan tanpa alasan. Selama beberapa bulan terakhir, tim keamanan Google kewalahan menghadapi banjir laporan yang tampak meyakinkan secara permukaan, tetapi setelah diperiksa ternyata tidak valid atau bahkan tidak masuk akal. Alih-alih menemukan celah keamanan nyata, banyak pengajuan justru merupakan hasil generasi model bahasa besar yang mencoba menebak-nebak kerentanan tanpa pemahaman mendalam tentang kode.

Banjir Laporan AI yang Menguras Sumber Daya

Menurut pernyataan resmi Google, pihaknya mengalami "peningkatan signifikan" dalam pengajuan bug bounty yang berasal dari alat AI. Laporan-laporan ini sering kali meniru format laporan manusia, lengkap dengan istilah teknis dan referensi kode, namun ketika diverifikasi, sebagian besar tidak dapat direproduksi atau bahkan menunjuk ke baris kode yang tidak ada. Akibatnya, peneliti keamanan internal Google harus menghabiskan waktu berharga untuk menyaring laporan palsu, waktu yang seharusnya bisa digunakan untuk menangani kerentanan asli.

Kebijakan ini berlaku untuk program bug bounty open source Google, yang mencakup proyek-proyek populer seperti Angular, Go, dan Kubernetes. Pembekuan bersifat sementara, namun Google belum memberikan tenggat waktu pasti kapan program akan dibuka kembali. Mereka menyatakan sedang mengevaluasi ulang proses dan kriteria penerimaan laporan agar lebih tahan terhadap spam AI.

Dampak bagi Ekosistem Open Source dan Peneliti Keamanan

Keputusan Google ini memicu diskusi di kalangan peneliti keamanan. Sebagian menyayangkan karena program bug bounty open source merupakan salah satu jalur bagi peneliti independen untuk berkontribusi dan mendapatkan imbalan. Namun, banyak juga yang memahami langkah tersebut. Pasalnya, AI generatif kini semakin mudah digunakan untuk membuat laporan palsu yang sulit dibedakan dari yang asli, setidaknya pada pandangan pertama.

Fenomena ini bukan pertama kali terjadi. Beberapa platform bug bounty lain seperti HackerOne dan Bugcrowd juga melaporkan peningkatan serupa. Mereka mulai menerapkan filter tambahan, seperti verifikasi identitas dan analisis pola pengajuan, untuk mengurangi beban akibat laporan AI. Google tampaknya memilih jalan lebih tegas dengan menghentikan sementara programnya agar dapat merombak sistem dari dalam.

Implikasi Jangka Panjang dan Pelajaran bagi Industri

Ke depan, insiden ini bisa menjadi titik balik bagaimana program bug bounty dikelola. AI memang mempermudah pembuatan laporan, tetapi tanpa pemahaman konteks, hasilnya hanya menambah noise. Google mungkin akan mengadopsi pendekatan berbasis AI pula untuk menyaring laporan, atau memperketat syarat bukti seperti menyertakan proof-of-concept yang dapat direproduksi. Bagi peneliti, ini menjadi pengingat bahwa kualitas tetap nomor satu.

Di sisi lain, langkah Google ini juga menyoroti pentingnya tata kelola AI yang bertanggung jawab. Sebelumnya, kita sempat membahas bagaimana Paus Leo XIV menyoroti seni buatan AI yang dianggap kehilangan percikan kemanusiaan. Kritik serupa juga relevan di ranah keamanan siber: AI yang digunakan tanpa etika dan pemahaman hanya akan menciptakan masalah baru.

Bagi Indonesia, khususnya startup dan pengembang open source, kejadian ini menjadi pelajaran berharga. Program bug bounty lokal yang mulai tumbuh perlu mengantisipasi gelombang serupa. Investasi pada verifikasi berlapis dan edukasi peneliti tentang pentingnya laporan berkualitas akan menjadi kunci. Selain itu, kolaborasi antarplatform untuk berbagi daftar hitam pelapor spam AI bisa menjadi solusi jangka panjang.

Yang jelas, AI bukan musuh. Ia hanyalah alat. Tanpa kurasi manusia, alat itu bisa berbalik menjadi bumerang. Google memilih mengerem sejenak untuk menata ulang. Mungkin ini saat yang tepat bagi kita semua untuk berpikir ulang tentang bagaimana memanfaatkan AI secara produktif, bukan sekadar menghasilkan sampah digital.

*(Kalau kamu penasaran dengan sisi lain AI yang bisa merugikan, baca juga ulasan kami tentang Circuit Breaker Labs yang menciptakan boneka uji tabrak untuk menguji keamanan psikologis AI).*