১ অক্টোবর ২০২৬ থেকে Google তার ওপেন সোর্স সফটওয়্যার দুর্বলতা পুরস্কার কর্মসূচি (OSS VRP)-তে পণ্যের দুর্বলতার নতুন প্রতিবেদন গ্রহণ করছে না। কর্মসূচির বর্তমান নিয়ম শেষ তারিখটি স্পষ্ট করেছে। সাপ্লাই-চেইন প্রতিবেদন এখনো গ্রহণ করা হয়, আর Google বলেছে ১ অক্টোবরের আগে জমা দেওয়া পণ্যের প্রতিবেদন এতে প্রভাবিত হবে না। Google Cloud পরিচালিত কিছু রিপোজিটরির দুর্বলতা Cloud পণ্যকে প্রভাবিত করলে Cloud VRP সেখানে পণ্যের প্রতিবেদন নিতে পারে।

এই স্থগিতাদেশের আগে Google ১৯ মার্চ নিয়ম হালনাগাদকরেছিল। তখন তারা বলেছিল, AI-তৈরি প্রতিবেদনের সংখ্যা বাড়ছে, যেখানে ভুল ট্রিগার বা নগণ্য নিরাপত্তা-প্রভাব রয়েছে। ১ অক্টোবরের বিবৃতিতেGoogle বলেছে স্বয়ংক্রিয় জমাও বেড়েছে এবং তাদের মতে অধিকাংশই অবৈধ। অক্টোবরের বিবৃতিতে সব স্বয়ংক্রিয় প্রতিবেদনকে AI-তৈরি বলা হয়নি। পুনরায় চালুর তারিখ না জানিয়ে Google ২০২৭ সালের প্রথম ত্রৈমাসিকে হালনাগাদের প্রতিশ্রুতি দিয়েছে।

বড় পরিবর্তন

আগে OSS VRP প্রকল্পের স্তর ও প্রমাণের শর্ত মেনে Google-এর যোগ্য ওপেন-সোর্স প্রকল্পে পণ্যের দুর্বলতার প্রতিবেদন গ্রহণ করত। ১ অক্টোবর থেকে নতুন পণ্যের প্রতিবেদনের পথ স্থগিত। সাপ্লাই-চেইন পথ এখনো এমন দুর্বলতা নেয় যা সোর্স কোড বা বিতরণ করা বিল্ডকে ঝুঁকিতে ফেলতে পারে; আগে জমা দেওয়া পণ্যের প্রতিবেদনও প্রক্রিয়াধীন। ফর্ম বেছে নেওয়ার আগে গবেষকদের এখন দুর্বলতার ধরন ও পণ্যে তার প্রভাব নির্ধারণ করতে হবে। অন্য কর্মসূচির পথ আছে কি না তা Google-এর নিয়ম নির্ধারণ করে; রিপোজিটরির মালিকানা একাই যথেষ্ট নয়।

জমা দেওয়ার আগে পথ নির্ধারণ করুন

প্রথমে OSS VRP-এর নিয়ম ও আক্রান্ত রিপোজিটরির পরিচয় ও বর্তমান সংস্করণ যাচাই করুন। Google বলেছে, তাদের GitHub সংস্থার প্রকাশ্য রিপোজিটরিতে সফটওয়্যারের সর্বশেষ সংস্করণ এবং অন্য প্ল্যাটফর্মের কিছু নির্দিষ্ট রিপোজিটরি এই কর্মসূচির আওতায় পড়ে। এই আওতা মানেই প্রতিটি সমস্যা পুরস্কারের যোগ্য নয়।

দুর্বলতা

Google-এর নিয়মে বর্তমান পথ

Google OSS-এ নতুন পণ্যের দুর্বলতা, যেমন পরবর্তী কোনো পণ্যে ব্যবহৃত সফটওয়্যারের ত্রুটি

স্থগিতাদেশ চলাকালে এটিকে নতুন OSS VRP পণ্য-প্রতিবেদন হিসেবে জমা দেবেন না। প্রমাণিত প্রভাব অন্য কর্মসূচির নিজস্ব নিয়মে পড়ে কি না দেখুন।

Google OSS সোর্সের অখণ্ডতা বা বিতরণকৃত বিল্ড উপাদান ঝুঁকিতে ফেলতে পারে এমন দুর্বলতা

OSS VRP-এর সাপ্লাই-চেইন মানদণ্ড দেখুন, তারপর Google-এর দুর্বলতা ফর্ম ব্যবহার করে OSS VRP নির্বাচন করুন এবং রিপোজিটরির URL দিন। এই পথ খোলা আছে।

১ অক্টোবরের আগে জমা দেওয়া পণ্যের দুর্বলতা

আগের প্রতিবেদন চালিয়ে যান। Google বলেছে, স্থগিতাদেশ অপেক্ষমাণ প্রতিবেদনে প্রভাব ফেলে না।

Google Cloud পরিচালিত রিপোজিটরির সমস্যা, যা Google Cloud পণ্য বা পরিষেবাকে প্রভাবিত করে

আক্রান্ত পণ্যের স্তরসহ Cloud VRP-এর নিয়মদেখুন। Google বলেছে এ ধরনের কিছু প্রতিবেদন সেখানে গ্রহণ হতে পারে; শুধু রিপোজিটরির অবস্থান যথেষ্ট নয়।

Google বা Alphabet-এর AI পণ্যের সমস্যা, যেখানে LLM বা অন্য জেনারেটিভ AI ব্যবস্থা সমস্যার অবিচ্ছেদ্য অংশ

প্রযোজ্য AI VRP-এর নিয়মদেখুন। AI ব্যবহার করে সাধারণ কোডের ত্রুটি খুঁজে পেলেই সেটি AI VRP-এর আওতায় পড়ে না।

প্রস্তাবিত নিরাপত্তা উন্নতি বা প্যাচ

যোগ্য প্রকল্প ও পরিবর্তনের জন্য আলাদা Patch Rewards Program-এর নিয়ম দেখুন। এটি প্যাচ কর্মসূচি, স্থগিত একই দুর্বলতার প্রতিবেদনের বিকল্প জমার পথ নয়।

Google-এর OSS নিয়মে পণ্যের দুর্বলতা গ্রহণের আগের মানদণ্ডও রয়ে গেছে; কিছু মেমরি-করাপশন সমস্যায় OSS-Fuzz দিয়ে পুনরুৎপাদন বা মার্জ হওয়া প্যাচ দরকার হতে পারে। অনুচ্ছেদগুলো ওই ধরনের প্রতিবেদনের শর্ত বর্ণনা করে, কিন্তু নতুন অক্টোবর কাটঅফের নিচে রয়েছে। স্থগিতাদেশ চলাকালে এগুলো নতুন OSS VRP পণ্যের প্রতিবেদন জমার উপায় নয়।

যে OSS প্রতিবেদন এখনো নেওয়া হয়, তার যা দরকার

সাপ্লাই-চেইন দুর্বলতার ক্ষেত্রে Google-এর নিয়মে এমন কাজে লাগানো যায় এমন পথ দেখাতে হয়, যার মাধ্যমে Google OSS-এর সোর্স, বিল্ড উপাদান বা বিতরণকৃত প্যাকেজ বদলানো সম্ভব। কোনো পরিস্থিতি শুধু তখনই কাজ করলে যখন রক্ষণাবেক্ষণকারী বাইরের পরিবর্তন-অনুরোধ অনুমোদন করেন, সেটিকে অভ্যন্তরীণ-ঝুঁকি হিসেবে দেখা হয়; এতে স্বীকৃতি মিলতে পারে, কিন্তু সাপ্লাই-চেইন দুর্বলতার পুরস্কার নয়। Google রিপোজিটরি ও বিল্ড কনফিগারেশন, রিলিজ অবকাঠামো এবং প্রকাশনার পরিচয়পত্রকে প্রাসঙ্গিক ক্ষেত্র হিসেবে উল্লেখ করেছে। এগুলো আওতার বর্ণনা, অন্যের অবকাঠামো পরীক্ষা করার অনুমতি নয়।

এই নির্দেশিকা ৫ অক্টোবর ২০২৬-এ যাচাই করা Google কর্মসূচির নথির ভিত্তিতে লেখা। BIG CHANGE কোনো দুর্বলতা পরীক্ষা বা প্রতিবেদন জমা দেয়নি। জমা দেওয়ার আগে Google-এর প্রতিবেদন নির্দেশনায়চাওয়া বিষয়গুলো প্রস্তুত করুন:

  1. রিপোজিটরির URL, আক্রান্ত সফটওয়্যার সংস্করণ এবং দুর্বলতার সঙ্গে সম্পর্কিত সাম্প্রতিক বিল্ড বা কনফিগারেশন।
  2. ত্রুটি, সেটি ঘটানোর শর্ত ও নিরাপত্তা-প্রভাবের সংক্ষিপ্ত বিবরণ। শুধু কোডের সতর্কবার্তাকে কাজে লাগানো যায় এমন দুর্বলতার প্রমাণ ধরে না নিয়ে আক্রমণের পরিস্থিতি ব্যাখ্যা করুন।
  3. পুনরুৎপাদনের নির্দেশনা এবং সম্ভব হলে তৈরি করা যায় এমন প্রুফ অব কনসেপ্ট। প্রাসঙ্গিক আউটপুট বা ক্র্যাশ ডাম্প থাকলে যোগ করুন। যা সরাসরি দেখা গেছে তা অনুমান করা প্রভাব থেকে আলাদা করুন।
  4. উপযুক্ত কর্মসূচি ও জমার স্থান। OSS সাপ্লাই-চেইন প্রতিবেদনে দুর্বলতা ফর্মের Bug Location ধাপে OSS VRP নির্বাচন করে রিপোজিটরির URL দিন। Cloud বা AI-এর ক্ষেত্রে সংশ্লিষ্ট কর্মসূচির আওতা ও ফর্ম নির্দেশনা অনুসরণ করুন।

সম্ভব হলে স্থানীয়ভাবে পরীক্ষা করতে, অন্য ব্যবহারকারীদের ব্যাহত না করতে এবং উল্লেখযোগ্য ট্রাফিক তৈরি করে এমন স্বয়ংক্রিয় পরীক্ষা এড়াতে Google বলেছে। Cloud-এর নিয়ম গ্রাহকের মালিকানাধীন রিসোর্স পরীক্ষা নিষিদ্ধ করে। AI-এর নিয়ম প্রতিবেদনকারীকে সমস্যা যাচাই করে আওতার মধ্যে থাকা হুমকি সহজ ভাষায় ব্যাখ্যা করতে বলে। প্রতিবেদনের মানের মতো এই সীমারেখাগুলোও গুরুত্বপূর্ণ।

কর্মসূচির পাতাগুলো প্রকাশ্য এবং জানায় যে দুর্বলতার প্রতিবেদন জমা দিতে কোনো ফি নেই। বাস্তবে দরকার নির্দিষ্ট দুর্বলতা, যোগ্য লক্ষ্য এবং নির্বাচিত কর্মসূচির নিয়ম মেনে লেখা প্রতিবেদন। পুরস্কার কর্মসূচির বিবেচনাধীন এবং কর্মসূচি, প্রকল্পের স্তর ও প্রভাব অনুযায়ী ভিন্ন হয়। বর্তমান OSS পুরস্কার তালিকায় নতুন পণ্যের দুর্বলতার পুরস্কার নেই; যোগ্য স্তরের সাপ্লাই-চেইন দুর্বলতার পুরস্কারের সীমা এখনো আছে। জমা দেওয়া বা সুন্দরভাবে লেখা প্রতিবেদন—কোনোটিই অর্থপ্রাপ্তির নিশ্চয়তা নয়।

Google কেন প্রতিবেদন গ্রহণের পথ বদলেছে

মার্চের পোস্টে Google বলেছিল, গবেষকেরা AI-এর ফল যাচাই করলে AI-সহায়তাপ্রাপ্ত গবেষণা কার্যকর হতে পারে। তাদের মতে, কিছু প্রতিবেদন ট্রিগার বানিয়ে বলেছে বা এমন কোডিং ত্রুটি দেখিয়েছে যার নাগালযোগ্য ও তাৎপর্যপূর্ণ নিরাপত্তা-প্রভাব প্রমাণ করা হয়নি। এপ্রিলের হালনাগাদে নিম্নস্তরের OT2 ও OT3 প্রকল্পে পণ্যের দুর্বলতা ও অন্য নিরাপত্তা সমস্যার পুরস্কার বা স্বীকৃতি বাদ পড়ে। অক্টোবরের স্থগিতাদেশ সব প্রকল্প স্তরের নতুন OSS VRP পণ্য-প্রতিবেদনেও প্রযোজ্য। এ বিষয়ে TechCrunch ও প্রতিবেদন করেছে। Google-এর প্রকাশ্য বক্তব্য নিয়মের পরিবর্তন ও দেওয়া কারণ প্রতিষ্ঠা করে, কিন্তু জমার সংখ্যা বা অবৈধ প্রতিবেদনগুলোর কতটিতে AI ব্যবহৃত হয়েছিল তার স্বাধীন পরিমাপ দেয় না।

এখন গবেষকের কাজ হলো কার্যকর নিয়ম অনুযায়ী দুর্বলতার ধরন নির্ধারণ করা, বাস্তব নিরাপত্তা-পরিণতি দেখানো এবং শুধু বর্তমানে যোগ্য পথ ব্যবহার করা। Google বলেছে ২০২৭ সালের প্রথম ত্রৈমাসিকে পণ্যের প্রতিবেদন-পথ হালনাগাদ করবে; ততদিন নতুন OSS VRP পণ্য-প্রতিবেদনে অক্টোবরের কাটঅফ কার্যকর।

সূত্র ও আরও পড়ুন

  • Google OSS VRP-এর নিয়ম; বর্তমান নিয়ম ৫ অক্টোবর ২০২৬-এ যাচাই করা হয়েছে। এতে ১ অক্টোবরের কাটঅফ, চালু থাকা সাপ্লাই-চেইন আওতা, প্রতিবেদন জমার শর্ত এবং পুরস্কারের সীমা রয়েছে।
  • Google-এর ১৯ মার্চ ২০২৬-এর নিয়ম হালনাগাদও এপ্রিলের হালনাগাদ। এগুলো AI-সম্পর্কিত আগের নির্দিষ্ট পর্যবেক্ষণ এবং প্রকল্পের স্তর পরিবর্তন নথিভুক্ত করে।
  • Google VRP-এর ১ অক্টোবর ২০২৬-এর বিবৃতি .আমাদের গবেষণা পরিবেশে X-এর মূল পোস্ট পাওয়া যায়নি; এর লেখা ও পোস্ট ID পাওয়া গেছে তৃতীয় পক্ষের মিররে এবং আওতা Google-এর বর্তমান নিয়মের সঙ্গে মিলিয়ে দেখা হয়েছে।
  • Cloud VRP , AI VRP ও Patch Rewards এর নিয়ম; ৫ অক্টোবর ২০২৬-এ যাচাই করা হয়েছে। প্রতিটি কর্মসূচির যোগ্যতা ও প্রতিবেদন শর্ত আলাদা।