Markdown সংস্করণ

AI-translated from English; not yet reviewed by a fluent editor.

# Google নতুন ওপেন-সোর্স পণ্যের দুর্বলতার প্রতিবেদন স্থগিত করেছে: গবেষকেরা এখন কোথায় জানাবেন

> ১ অক্টোবর Google OSS VRP-তে পণ্যের দুর্বলতার নতুন জমা স্থগিত করেছে। সাপ্লাই-চেইন প্রতিবেদন ও আগে থেকে খোলা মামলা চলবে; কিছু ক্ষেত্রে Cloud, AI বা Patch Rewards-এর নিজস্ব নিয়ম প্রযোজ্য হতে পারে।

By BIG CHANGE Editorial

Published: 2026-10-05T04:59:25.735Z
Updated: 2026-10-05T04:59:25.735Z
Canonical: https://bigchange.ai/blog/google-oss-vrp-product-report-pause-routing-guide

![Conceptual charcoal illustration of two wall-mounted report slots: one shutter is closed, while a plain sheet rests in the other open slot.](https://bigchange.ai/api/media/file/google-oss-vrp-report-routing-hero-v2.png)
AI-generated conceptual editorial illustration by BIG CHANGE.

১ অক্টোবর ২০২৬ থেকে Google তার ওপেন সোর্স সফটওয়্যার দুর্বলতা পুরস্কার কর্মসূচি (OSS VRP)-তে পণ্যের দুর্বলতার নতুন প্রতিবেদন গ্রহণ করছে না। [কর্মসূচির বর্তমান নিয়ম](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) শেষ তারিখটি স্পষ্ট করেছে। সাপ্লাই-চেইন প্রতিবেদন এখনো গ্রহণ করা হয়, আর Google বলেছে ১ অক্টোবরের আগে জমা দেওয়া পণ্যের প্রতিবেদন এতে প্রভাবিত হবে না। Google Cloud পরিচালিত কিছু রিপোজিটরির দুর্বলতা Cloud পণ্যকে প্রভাবিত করলে [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) সেখানে পণ্যের প্রতিবেদন নিতে পারে।

এই স্থগিতাদেশের আগে Google [১৯ মার্চ নিয়ম হালনাগাদ](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)করেছিল। তখন তারা বলেছিল, AI-তৈরি প্রতিবেদনের সংখ্যা বাড়ছে, যেখানে ভুল ট্রিগার বা নগণ্য নিরাপত্তা-প্রভাব রয়েছে। [১ অক্টোবরের বিবৃতিতে](https://x.com/GoogleVRP/status/2105689195180179605)Google বলেছে *স্বয়ংক্রিয়* জমাও বেড়েছে এবং তাদের মতে অধিকাংশই অবৈধ। অক্টোবরের বিবৃতিতে সব স্বয়ংক্রিয় প্রতিবেদনকে AI-তৈরি বলা হয়নি। পুনরায় চালুর তারিখ না জানিয়ে Google ২০২৭ সালের প্রথম ত্রৈমাসিকে হালনাগাদের প্রতিশ্রুতি দিয়েছে।

## বড় পরিবর্তন

আগে OSS VRP প্রকল্পের স্তর ও প্রমাণের শর্ত মেনে Google-এর যোগ্য ওপেন-সোর্স প্রকল্পে পণ্যের দুর্বলতার প্রতিবেদন গ্রহণ করত। ১ অক্টোবর থেকে নতুন পণ্যের প্রতিবেদনের পথ স্থগিত। সাপ্লাই-চেইন পথ এখনো এমন দুর্বলতা নেয় যা সোর্স কোড বা বিতরণ করা বিল্ডকে ঝুঁকিতে ফেলতে পারে; আগে জমা দেওয়া পণ্যের প্রতিবেদনও প্রক্রিয়াধীন। ফর্ম বেছে নেওয়ার আগে গবেষকদের এখন দুর্বলতার ধরন ও পণ্যে তার প্রভাব নির্ধারণ করতে হবে। অন্য কর্মসূচির পথ আছে কি না তা Google-এর নিয়ম নির্ধারণ করে; রিপোজিটরির মালিকানা একাই যথেষ্ট নয়।

## জমা দেওয়ার আগে পথ নির্ধারণ করুন

প্রথমে [OSS VRP-এর নিয়ম](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) ও আক্রান্ত রিপোজিটরির পরিচয় ও বর্তমান সংস্করণ যাচাই করুন। Google বলেছে, তাদের GitHub সংস্থার প্রকাশ্য রিপোজিটরিতে সফটওয়্যারের সর্বশেষ সংস্করণ এবং অন্য প্ল্যাটফর্মের কিছু নির্দিষ্ট রিপোজিটরি এই কর্মসূচির আওতায় পড়ে। এই আওতা মানেই প্রতিটি সমস্যা পুরস্কারের যোগ্য নয়।

| দুর্বলতা | Google-এর নিয়মে বর্তমান পথ |
| --- | --- |
| Google OSS-এ নতুন পণ্যের দুর্বলতা, যেমন পরবর্তী কোনো পণ্যে ব্যবহৃত সফটওয়্যারের ত্রুটি | স্থগিতাদেশ চলাকালে এটিকে নতুন OSS VRP পণ্য-প্রতিবেদন হিসেবে জমা দেবেন না। প্রমাণিত প্রভাব অন্য কর্মসূচির নিজস্ব নিয়মে পড়ে কি না দেখুন। |
| Google OSS সোর্সের অখণ্ডতা বা বিতরণকৃত বিল্ড উপাদান ঝুঁকিতে ফেলতে পারে এমন দুর্বলতা | OSS VRP-এর সাপ্লাই-চেইন মানদণ্ড দেখুন, তারপর Google-এর [দুর্বলতা ফর্ম](https://bughunters.google.com/report) ব্যবহার করে OSS VRP নির্বাচন করুন এবং রিপোজিটরির URL দিন। এই পথ খোলা আছে। |
| ১ অক্টোবরের আগে জমা দেওয়া পণ্যের দুর্বলতা | আগের প্রতিবেদন চালিয়ে যান। Google বলেছে, স্থগিতাদেশ অপেক্ষমাণ প্রতিবেদনে প্রভাব ফেলে না। |
| Google Cloud পরিচালিত রিপোজিটরির সমস্যা, যা Google Cloud পণ্য বা পরিষেবাকে প্রভাবিত করে | আক্রান্ত পণ্যের স্তরসহ [Cloud VRP-এর নিয়ম](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules)দেখুন। Google বলেছে এ ধরনের কিছু প্রতিবেদন সেখানে গ্রহণ হতে পারে; শুধু রিপোজিটরির অবস্থান যথেষ্ট নয়। |
| Google বা Alphabet-এর AI পণ্যের সমস্যা, যেখানে LLM বা অন্য জেনারেটিভ AI ব্যবস্থা সমস্যার অবিচ্ছেদ্য অংশ | প্রযোজ্য [AI VRP-এর নিয়ম](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules)দেখুন। AI ব্যবহার করে সাধারণ কোডের ত্রুটি খুঁজে পেলেই সেটি AI VRP-এর আওতায় পড়ে না। |
| প্রস্তাবিত নিরাপত্তা উন্নতি বা প্যাচ | যোগ্য প্রকল্প ও পরিবর্তনের জন্য আলাদা [Patch Rewards Program-এর নিয়ম](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) দেখুন। এটি প্যাচ কর্মসূচি, স্থগিত একই দুর্বলতার প্রতিবেদনের বিকল্প জমার পথ নয়। |

Google-এর [OSS নিয়মে](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) পণ্যের দুর্বলতা গ্রহণের আগের মানদণ্ডও রয়ে গেছে; কিছু মেমরি-করাপশন সমস্যায় OSS-Fuzz দিয়ে পুনরুৎপাদন বা মার্জ হওয়া প্যাচ দরকার হতে পারে। অনুচ্ছেদগুলো ওই ধরনের প্রতিবেদনের শর্ত বর্ণনা করে, কিন্তু নতুন অক্টোবর কাটঅফের নিচে রয়েছে। স্থগিতাদেশ চলাকালে এগুলো নতুন OSS VRP পণ্যের প্রতিবেদন জমার উপায় নয়।

## যে OSS প্রতিবেদন এখনো নেওয়া হয়, তার যা দরকার

সাপ্লাই-চেইন দুর্বলতার ক্ষেত্রে Google-এর নিয়মে এমন কাজে লাগানো যায় এমন পথ দেখাতে হয়, যার মাধ্যমে Google OSS-এর সোর্স, বিল্ড উপাদান বা বিতরণকৃত প্যাকেজ বদলানো সম্ভব। কোনো পরিস্থিতি শুধু তখনই কাজ করলে যখন রক্ষণাবেক্ষণকারী বাইরের পরিবর্তন-অনুরোধ অনুমোদন করেন, সেটিকে অভ্যন্তরীণ-ঝুঁকি হিসেবে দেখা হয়; এতে স্বীকৃতি মিলতে পারে, কিন্তু সাপ্লাই-চেইন দুর্বলতার পুরস্কার নয়। Google রিপোজিটরি ও বিল্ড কনফিগারেশন, রিলিজ অবকাঠামো এবং প্রকাশনার পরিচয়পত্রকে প্রাসঙ্গিক ক্ষেত্র হিসেবে উল্লেখ করেছে। এগুলো আওতার বর্ণনা, অন্যের অবকাঠামো পরীক্ষা করার অনুমতি নয়।

এই নির্দেশিকা ৫ অক্টোবর ২০২৬-এ যাচাই করা Google কর্মসূচির নথির ভিত্তিতে লেখা। BIG CHANGE কোনো দুর্বলতা পরীক্ষা বা প্রতিবেদন জমা দেয়নি। জমা দেওয়ার আগে Google-এর [প্রতিবেদন নির্দেশনায়](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules)চাওয়া বিষয়গুলো প্রস্তুত করুন:

1. রিপোজিটরির URL, আক্রান্ত সফটওয়্যার সংস্করণ এবং দুর্বলতার সঙ্গে সম্পর্কিত সাম্প্রতিক বিল্ড বা কনফিগারেশন।
2. ত্রুটি, সেটি ঘটানোর শর্ত ও নিরাপত্তা-প্রভাবের সংক্ষিপ্ত বিবরণ। শুধু কোডের সতর্কবার্তাকে কাজে লাগানো যায় এমন দুর্বলতার প্রমাণ ধরে না নিয়ে আক্রমণের পরিস্থিতি ব্যাখ্যা করুন।
3. পুনরুৎপাদনের নির্দেশনা এবং সম্ভব হলে তৈরি করা যায় এমন প্রুফ অব কনসেপ্ট। প্রাসঙ্গিক আউটপুট বা ক্র্যাশ ডাম্প থাকলে যোগ করুন। যা সরাসরি দেখা গেছে তা অনুমান করা প্রভাব থেকে আলাদা করুন।
4. উপযুক্ত কর্মসূচি ও জমার স্থান। OSS সাপ্লাই-চেইন প্রতিবেদনে দুর্বলতা ফর্মের Bug Location ধাপে OSS VRP নির্বাচন করে রিপোজিটরির URL দিন। Cloud বা AI-এর ক্ষেত্রে সংশ্লিষ্ট কর্মসূচির আওতা ও ফর্ম নির্দেশনা অনুসরণ করুন।

সম্ভব হলে স্থানীয়ভাবে পরীক্ষা করতে, অন্য ব্যবহারকারীদের ব্যাহত না করতে এবং উল্লেখযোগ্য ট্রাফিক তৈরি করে এমন স্বয়ংক্রিয় পরীক্ষা এড়াতে Google বলেছে। [Cloud-এর নিয়ম](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) গ্রাহকের মালিকানাধীন রিসোর্স পরীক্ষা নিষিদ্ধ করে। [AI-এর নিয়ম](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) প্রতিবেদনকারীকে সমস্যা যাচাই করে আওতার মধ্যে থাকা হুমকি সহজ ভাষায় ব্যাখ্যা করতে বলে। প্রতিবেদনের মানের মতো এই সীমারেখাগুলোও গুরুত্বপূর্ণ।

কর্মসূচির পাতাগুলো প্রকাশ্য এবং জানায় যে দুর্বলতার প্রতিবেদন জমা দিতে কোনো ফি নেই। বাস্তবে দরকার নির্দিষ্ট দুর্বলতা, যোগ্য লক্ষ্য এবং নির্বাচিত কর্মসূচির নিয়ম মেনে লেখা প্রতিবেদন। পুরস্কার কর্মসূচির বিবেচনাধীন এবং কর্মসূচি, প্রকল্পের স্তর ও প্রভাব অনুযায়ী ভিন্ন হয়। বর্তমান OSS পুরস্কার তালিকায় নতুন পণ্যের দুর্বলতার পুরস্কার নেই; যোগ্য স্তরের সাপ্লাই-চেইন দুর্বলতার পুরস্কারের সীমা এখনো আছে। জমা দেওয়া বা সুন্দরভাবে লেখা প্রতিবেদন—কোনোটিই অর্থপ্রাপ্তির নিশ্চয়তা নয়।

## Google কেন প্রতিবেদন গ্রহণের পথ বদলেছে

মার্চের পোস্টে Google বলেছিল, গবেষকেরা AI-এর ফল যাচাই করলে AI-সহায়তাপ্রাপ্ত গবেষণা কার্যকর হতে পারে। তাদের মতে, কিছু প্রতিবেদন ট্রিগার বানিয়ে বলেছে বা এমন কোডিং ত্রুটি দেখিয়েছে যার নাগালযোগ্য ও তাৎপর্যপূর্ণ নিরাপত্তা-প্রভাব প্রমাণ করা হয়নি। এপ্রিলের হালনাগাদে নিম্নস্তরের OT2 ও OT3 প্রকল্পে পণ্যের দুর্বলতা ও অন্য নিরাপত্তা সমস্যার পুরস্কার বা স্বীকৃতি বাদ পড়ে। অক্টোবরের স্থগিতাদেশ সব প্রকল্প স্তরের *নতুন* OSS VRP পণ্য-প্রতিবেদনেও প্রযোজ্য। এ বিষয়ে [TechCrunch](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) ও প্রতিবেদন করেছে। Google-এর প্রকাশ্য বক্তব্য নিয়মের পরিবর্তন ও দেওয়া কারণ প্রতিষ্ঠা করে, কিন্তু জমার সংখ্যা বা অবৈধ প্রতিবেদনগুলোর কতটিতে AI ব্যবহৃত হয়েছিল তার স্বাধীন পরিমাপ দেয় না।

এখন গবেষকের কাজ হলো কার্যকর নিয়ম অনুযায়ী দুর্বলতার ধরন নির্ধারণ করা, বাস্তব নিরাপত্তা-পরিণতি দেখানো এবং শুধু বর্তমানে যোগ্য পথ ব্যবহার করা। Google বলেছে ২০২৭ সালের প্রথম ত্রৈমাসিকে পণ্যের প্রতিবেদন-পথ হালনাগাদ করবে; ততদিন নতুন OSS VRP পণ্য-প্রতিবেদনে অক্টোবরের কাটঅফ কার্যকর।

## সূত্র ও আরও পড়ুন

- [Google OSS VRP-এর নিয়ম](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules); বর্তমান নিয়ম ৫ অক্টোবর ২০২৬-এ যাচাই করা হয়েছে। এতে ১ অক্টোবরের কাটঅফ, চালু থাকা সাপ্লাই-চেইন আওতা, প্রতিবেদন জমার শর্ত এবং পুরস্কারের সীমা রয়েছে।
- [Google-এর ১৯ মার্চ ২০২৬-এর নিয়ম হালনাগাদ](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)ও এপ্রিলের হালনাগাদ। এগুলো AI-সম্পর্কিত আগের নির্দিষ্ট পর্যবেক্ষণ এবং প্রকল্পের স্তর পরিবর্তন নথিভুক্ত করে।
- [Google VRP-এর ১ অক্টোবর ২০২৬-এর বিবৃতি](https://x.com/GoogleVRP/status/2105689195180179605) .আমাদের গবেষণা পরিবেশে X-এর মূল পোস্ট পাওয়া যায়নি; এর লেখা ও পোস্ট ID পাওয়া গেছে [তৃতীয় পক্ষের মিররে](https://twstalker.com/GoogleVRP/status/2105689195180179605) এবং আওতা Google-এর বর্তমান নিয়মের সঙ্গে মিলিয়ে দেখা হয়েছে।
- [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) , [AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) ও [Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) এর নিয়ম; ৫ অক্টোবর ২০২৬-এ যাচাই করা হয়েছে। প্রতিটি কর্মসূচির যোগ্যতা ও প্রতিবেদন শর্ত আলাদা।

## Sources

- [Google Bug Hunters: Google OSS VRP সহজ করা: নিয়মের গুরুত্বপূর্ণ হালনাগাদ](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) — Google AI-তৈরি প্রতিবেদনের বৃদ্ধি বর্ণনা করেছে, নিরাপত্তা-প্রভাবের শক্ত প্রমাণ কেন চায় তা ব্যাখ্যা করেছে এবং এপ্রিলে প্রকল্পের স্তর অনুযায়ী পুরস্কার হালনাগাদ করেছে। অক্টোবরের স্থগিতাদেশ বর্তমান OSS VRP নিয়মে রয়েছে।
- [Google Bug Hunters: OSS VRP-এর নিয়ম](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) — ৫ অক্টোবর ২০২৬-এ যাচাই করা হয়েছে। Google-এর বর্তমান নিয়মে ১ অক্টোবর থেকে নতুন পণ্য প্রতিবেদন স্থগিত, সাপ্লাই-চেইন পথ চালু থাকা, প্রতিবেদন নির্দেশনা এবং পুরস্কারের শর্ত উল্লেখ আছে।
- [Google VRP (@GoogleVRP)-এর ১ অক্টোবর ২০২৬-এর বিবৃতি](https://x.com/GoogleVRP/status/2105689195180179605) — ১ অক্টোবরের বিবৃতিতে অবৈধ স্বয়ংক্রিয় জমা বৃদ্ধির কথা বলা হয়। X-এর মূল পোস্ট পাওয়া যায়নি; তৃতীয় পক্ষের মিররে লেখা ও পোস্ট ID দেখা গেছে। Google-এর প্রকাশিত OSS নিয়ম আলাদাভাবে স্থগিতাদেশের আওতা নিশ্চিত করে।
- [Google Bug Hunters-এর OSS VRP নিয়মের প্রকাশ্য GitHub মিরর](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) — Google-এর GitHub কপিতে তারিখসহ পণ্য প্রতিবেদন স্থগিত এবং চালু থাকা সাপ্লাই-চেইন মানদণ্ডসহ বর্তমান OSS VRP নিয়মের পূর্ণ বিবরণ আছে। ৫ অক্টোবর ২০২৬-এ যাচাই করা হয়েছে।
- [Google Cloud VRP-এর নিয়ম](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) — Google Cloud পরিচালিত ওপেন-সোর্স রিপোজিটরির দুর্বলতা Cloud পণ্য বা পরিষেবাকে প্রভাবিত করলে যোগ্য হতে পারে। যোগ্যতা ও পুরস্কারের স্তর Cloud কর্মসূচির নিজস্ব নিয়মে নির্ধারিত। ৫ অক্টোবর ২০২৬-এ যাচাই করা হয়েছে।
- [Google AI VRP-এর নিয়ম](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) — জেনারেটিভ AI ব্যবস্থার সঙ্গে মিথস্ক্রিয়া সমস্যার অবিচ্ছেদ্য অংশ হলে এই কর্মসূচি Google ও Alphabet-এর AI পণ্যের নির্দিষ্ট সমস্যা গ্রহণ করে। প্রতিবেদনকারীকে সমস্যা যাচাই করতে হয়। ৫ অক্টোবর ২০২৬-এ যাচাই করা হয়েছে।
- [Google Patch Rewards Program-এর নিয়ম](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) — এই আলাদা কর্মসূচি নিজস্ব প্রকল্প ও জমার নিয়মে যোগ্য ওপেন-সোর্স প্রকল্পের নিরাপত্তা উন্নতি ও প্যাচ বিবেচনা করে। ৫ অক্টোবর ২০২৬-এ যাচাই করা হয়েছে।
- [TechCrunch: AI জমা ব্যাপকভাবে বাড়ার পর Google ওপেন-সোর্স বাগ বাউন্টি প্রোগ্রাম স্থগিত করল](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) — ৪ অক্টোবরের প্রতিবেদন ঘোষণার প্রেক্ষাপট দেয়। এখানে বর্ণিত নির্দিষ্ট প্রতিবেদন-পথ Google-এর প্রকাশিত কর্মসূচির নিয়মে নির্ধারিত।
- [Tom's Hardware: অবৈধ AI জমার ঢলের মধ্যে Google ওপেন-সোর্স বাগ বাউন্টি প্রোগ্রাম স্থগিত করল](https://www.tomshardware.com/tech-industry/artificial-intelligence/google-suspends-part-of-the-oss-vrp-bug-bounty-program-due-to-an-influx-of-invalid-ai-submissions-product-vulnerability-submissions-ended-october-1) — ৩ অক্টোবরের ঘোষণা-সংক্রান্ত প্রতিবেদন। Google-এর অক্টোবরের বিবৃতিতে স্বয়ংক্রিয় জমার কথা আছে; মার্চের কর্মসূচি পোস্টে AI-তৈরি প্রতিবেদন আলাদাভাবে আলোচিত হয়েছে।