منذ 1 أكتوبر 2026، لم تعد Google تقبل بلاغات جديدة عن ثغرات المنتجات ضمن برنامج مكافآت ثغرات البرمجيات مفتوحة المصدر (OSS VRP). القواعد الحالية للبرنامج توضح موعد التوقف. وتظل بلاغات سلسلة الإمداد مقبولة، وتقول Google إن البلاغات عن المنتجات المقدمة قبل 1 أكتوبر غير متأثرة. وقد يظل Cloud VRP يقبل بلاغات المنتجات في بعض المستودعات التي تديرها Google Cloud عندما تؤثر الثغرات في منتجات Cloud.

جاء التوقف بعد تحديث القواعد في 19 مارس .وقالت Google حينها إن البلاغات التي ينشئها الذكاء الاصطناعي تتزايد، وإن بعضها يتضمن محفزات خاطئة أو أثراً أمنياً ضئيلاً. وفي بيان 1 أكتوبرأشارت Google إلى زيادة البلاغات الآلية ، وقالت إن الغالبية العظمى منها غير صالحة. ولم يصف بيان أكتوبر كل بلاغ آلي بأنه مولد بالذكاء الاصطناعي. ووعدت Google بتحديث في الربع الأول من 2027 من دون تحديد موعد لاستئناف القبول.

التغيير الأبرز

كان OSS VRP يقبل سابقاً البلاغات المؤهلة عن ثغرات المنتجات في مشاريع Google مفتوحة المصدر المشمولة، وفقاً لمستوى المشروع ومتطلبات الأدلة. ومنذ 1 أكتوبر، توقف مسار البلاغات الجديدة عن المنتجات. وما زال مسار سلسلة الإمداد يقبل النتائج التي قد تهدد الشيفرة المصدرية أو عمليات البناء الموزعة، كما تستمر معالجة بلاغات المنتجات المقدمة سابقاً. على الباحثين الآن تحديد نوع النتيجة وأثرها في المنتج قبل اختيار نموذج البلاغ. وتحدد قواعد Google، لا مجرد ملكية Google للمستودع، ما إذا كان برنامج آخر متاحاً.

حدّد المسار قبل تقديم البلاغ

ابدأ بـ قواعد OSS VRP وتحقق من هوية المستودع المتأثر وإصداره الحالي. تقول Google إن البرنامج يشمل أحدث إصدارات البرمجيات في المستودعات العامة التابعة لمؤسسات GitHub التي تملكها، فضلاً عن مستودعات محددة على منصات أخرى. ولا يعني هذا النطاق أن كل مشكلة مؤهلة لمكافأة.

النتيجة

المسار المتاح حالياً وفق قواعد Google

ثغرة جديدة في منتج ضمن Google OSS، مثل خلل في برنامج يستخدمه منتج لاحق

لا تقدمها كبلاغ جديد عن منتج في OSS VRP أثناء التوقف. تحقق مما إذا كان الأثر المثبت يستوفي قواعد برنامج آخر.

ضعف قد يهدد سلامة الشيفرة المصدرية لـGoogle OSS أو ملفات البناء الموزعة

تحقق من معايير سلسلة الإمداد في OSS VRP، ثم استخدم نموذج الإبلاغ عن الثغرات من Google مع اختيار OSS VRP وإدخال عنوان المستودع. يظل هذا المسار مفتوحاً.

نتيجة تخص منتجاً أُبلغ عنها قبل 1 أكتوبر

تابع البلاغ القائم. تقول Google إن التوقف لا يؤثر في البلاغات المعلقة.

مستودع تديره Google Cloud وتؤثر مشكلته في منتج أو خدمة من Google Cloud

راجع قواعد Cloud VRP, بما في ذلك مستوى المنتج المتأثر. تقول Google إن بعض هذه البلاغات قد تُقبل هناك؛ وموقع المستودع وحده لا يكفي.

مشكلة في منتج ذكاء اصطناعي لدى Google أو Alphabet يكون فيها نموذج لغوي كبير أو نظام توليدي آخر جزءاً جوهرياً من المشكلة

تحقق من قواعد AI VRP .فمجرد استخدام الذكاء الاصطناعي لاكتشاف خلل تقليدي في الشيفرة لا يجعل ذلك الخلل مؤهلاً لبرنامج AI VRP.

تحسين أمني أو رقعة مقترحة

راجع القواعد المنفصلة لـ برنامج Patch Rewards للتعرف على المشاريع والتغييرات المؤهلة. إنه برنامج للرقع، وليس مساراً بديلاً لتقديم البلاغ نفسه عن الثغرة التي توقف قبولها.

ما زالت قواعد OSS لدى Google تتضمن معاييرها السابقة لقبول ثغرات المنتجات، ومنها إعادة إنتاج بعض حالات تلف الذاكرة باستخدام OSS-Fuzz أو دمج رقعة إصلاح. تصف هذه الفقرات متطلبات ذلك النوع من البلاغات، لكنها تأتي بعد حد أكتوبر الجديد. ولا تتيح تقديم بلاغ جديد عن منتج في OSS VRP أثناء سريان التوقف.

ما يتطلبه بلاغ OSS الذي لا يزال مقبولاً

بالنسبة إلى نتائج سلسلة الإمداد، تشترط قواعد Google إثبات مسار قابل للاستغلال لتغيير الشيفرة المصدرية لـGoogle OSS أو ملفات البناء أو الحزم الموزعة. أما السيناريو الذي لا يعمل إلا بعد موافقة مسؤول على طلب تغيير خارجي، فيُعامل بوصفه خطراً داخلياً وقد يمنح صاحبه تقديراً لا مكافأة عن ثغرة في سلسلة الإمداد. وتذكر Google إعدادات المستودعات والبناء، وبنية الإصدارات، وبيانات اعتماد النشر ضمن الأسطح ذات الصلة. هذه أوصاف للنطاق وليست إذناً باختبار بنية يملكها طرف آخر.

يستند هذا الدليل إلى وثائق برامج Google التي روجعت في 5 أكتوبر 2026. لم تختبر BIG CHANGE ثغرة ولم تقدم بلاغاً. قبل الإرسال، جهّز العناصر التي تطلبها Google في تعليمات الإبلاغ :

  1. عنوان المستودع، وإصدار البرنامج المتأثر، وبناء أو إعداد حديث تنطبق عليه النتيجة.
  2. وصف موجز للخلل، والشروط اللازمة لتفعيله، وأثره الأمني. اشرح سيناريو الهجوم من دون افتراض أن تحذيراً في الشيفرة وحده يثبت وجود ثغرة قابلة للاستغلال.
  3. تعليمات لإعادة إنتاج المشكلة، وإثبات مفهوم قابل للبناء متى كان ذلك عملياً. أرفق المخرجات ذات الصلة أو تفريغ التعطل إن توفر. وافصل النتيجة المرصودة عن الأثر المستنتج.
  4. البرنامج ومكان الإبلاغ المناسبان. لبلاغ سلسلة إمداد OSS، اختر OSS VRP في خطوة Bug Location من نموذج الثغرات وحدد عنوان المستودع. أما Cloud وAI فاتبِع نطاق كل برنامج وتعليمات نموذجه.

توصي Google بالاختبار محلياً متى أمكن، وتجنب تعطيل المستخدمين الآخرين، وعدم إجراء اختبارات آلية تولد حركة مرور كبيرة. وتحظر قواعد Cloud اختبار الموارد المملوكة للعملاء. وتتطلب قواعد AI من المبلّغ التحقق من المشكلة وشرح تهديد داخل النطاق بلغة واضحة. وهذه الحدود لا تقل أهمية عن جودة البلاغ.

صفحات البرامج عامة وتذكر أن تقديم بلاغ عن ثغرة لا يتطلب رسوماً. والمتطلبات العملية هي نتيجة محددة، وهدف مؤهل، وبلاغ يلتزم بقواعد البرنامج المختار. وتُمنح المكافآت وفق تقدير البرنامج وتختلف بحسب البرنامج ومستوى المشروع والأثر. لا يتضمن جدول مكافآت OSS الحالي مكافآت لثغرات المنتجات الجديدة؛ لكنه ما زال يذكر نطاقات مكافآت لثغرات سلسلة الإمداد في المستويات المؤهلة. لا يضمن التقديم أو حسن صياغة البلاغ الحصول على دفعة.

لماذا غيّرت Google طريقة استقبال البلاغات

في منشور مارس، قالت Google إن البحث بمساعدة الذكاء الاصطناعي قد يكون مفيداً عندما يتحقق الباحثون من نتائجه. وذكرت أن بعض البلاغات اختلقت محفزاً أو أشارت إلى خطأ برمجي من دون إثبات أثر أمني ملموس يمكن الوصول إليه. وأزال تحديث أبريل المكافآت أو التقدير عن ثغرات المنتجات ومشكلات أمنية أخرى في مشاريع OT2 وOT3 الأدنى مستوى. ويمتد توقف أكتوبر إلى البلاغات الجديدة عن منتجات OSS VRP في جميع مستويات المشاريع. كما أفادت TechCrunch بالتوقف. وتثبت تصريحات Google العامة تغيير القواعد ومبرره المعلن، لكنها لا تقدم أعداد البلاغات أو قياساً مستقلاً لعدد البلاغات غير الصالحة التي استخدمت الذكاء الاصطناعي.

على الباحث الآن تصنيف النتيجة وفق القواعد النافذة، وإثبات عاقبة أمنية حقيقية، ثم استخدام مسار مؤهل حالياً فقط. وتقول Google إنها ستحدّث مسار بلاغات المنتجات في الربع الأول من 2027؛ وحتى ذلك الحين ينطبق حد أكتوبر على بلاغات منتجات OSS VRP الجديدة.

المصادر ومزيد من القراءة