Seit dem 1. Oktober 2026 nimmt Google keine neuen Meldungen zu Produktschwachstellen mehr über sein Open Source Software Vulnerability Reward Program (OSS VRP) an. Die aktuellen Programmregeln legen den Stichtag fest. Meldungen zur Lieferkette sind weiterhin willkommen. Google zufolge sind Produktmeldungen, die vor dem 1. Oktober eingereicht wurden, nicht betroffen. Bei manchen von Google Cloud betreuten Repositories, deren Schwachstellen Cloud-Produkte betreffen, kann das Cloud VRP weiterhin Produktmeldungen annehmen.

Die Pause folgte auf Googles Regeländerung vom 19. März .Damals erklärte Google, KI-generierte Meldungen mit falschen Auslösern oder vernachlässigbaren Sicherheitsauswirkungen nähmen zu. In der Mitteilung vom 1. Oktobersprach Google von mehr automatisierten Einreichungen, von denen die große Mehrheit ungültig sei. Die Oktober-Mitteilung stufte nicht jede automatisierte Meldung als KI-generiert ein. Google kündigte eine Aktualisierung für das erste Quartal 2027 an, nannte aber keinen Termin für eine Wiederaufnahme.

Die große Änderung

Bisher nahm das OSS VRP qualifizierte Produktmeldungen für berechtigte Open-Source-Projekte von Google an, abhängig von Projektstufe und Nachweisanforderungen. Seit dem 1. Oktober ist der Weg für neue Produktmeldungen ausgesetzt. Der Lieferkettenweg nimmt weiterhin Funde an, die den Quellcode oder verteilte Builds gefährden könnten; bereits eingereichte Produktmeldungen werden weiterbearbeitet. Forschende müssen nun Art und Produktauswirkung eines Fundes bestimmen, bevor sie ein Formular auswählen. Ob ein anderes Programm infrage kommt, entscheiden Googles Regeln und nicht allein die Eigentümerschaft des Repositories.

Vor dem Melden den passenden Weg bestimmen

Prüfen Sie zunächst die OSS-VRP-Regeln sowie Identität und aktuelle Version des betroffenen Repositories. Google zufolge umfasst das Programm aktuelle Softwareversionen in öffentlichen Repositories von Google-eigenen GitHub-Organisationen und ausgewählte Repositories auf anderen Plattformen. Daraus folgt nicht, dass jedes Problem für eine Prämie infrage kommt.

Fund

Derzeitiger Meldeweg nach Googles Regeln

Neue Produktschwachstelle in Google OSS, etwa ein Fehler in Software, die ein nachgelagertes Produkt nutzt

Während der Pause nicht als neue OSS-VRP-Produktmeldung einreichen. Prüfen Sie, ob die nachgewiesenen Auswirkungen die eigenen Regeln eines anderen Programms erfüllen.

Schwachstelle, die die Integrität des Google-OSS-Quellcodes oder verteilter Build-Artefakte gefährden könnte

Prüfen Sie die OSS-VRP-Kriterien für die Lieferkette und nutzen Sie anschließend Googles Schwachstellenformular mit ausgewähltem OSS VRP und der Repository-URL. Dieser Meldeweg bleibt offen.

Bereits vor dem 1. Oktober gemeldeter Produktfund

Bearbeiten Sie die bestehende Meldung weiter. Google zufolge betrifft die Pause offene Meldungen nicht.

Von Google Cloud betreutes Repository mit Auswirkungen auf ein Google-Cloud-Produkt oder einen -Dienst

Prüfen Sie die Cloud-VRP-Regeln, einschließlich der Stufe des betroffenen Produkts. Google zufolge könnten manche solcher Meldungen dort angenommen werden; der Repository-Standort allein reicht nicht aus.

Problem in einem KI-Produkt von Google oder Alphabet, bei dem ein LLM oder ein anderes generatives KI-System wesentlicher Bestandteil des Problems ist

Prüfen Sie die AI-VRP-Regeln .Der Einsatz von KI zur Entdeckung eines herkömmlichen Codefehlers macht diesen nicht automatisch zu einem AI-VRP-Fall.

Vorgeschlagene Sicherheitsverbesserung oder Patch

Prüfen Sie die separaten Regeln des Patch Rewards Program für berechtigte Projekte und Änderungen. Es ist ein Patch-Programm und kein alternativer Meldeweg für dieselbe ausgesetzte Schwachstellenmeldung.

Googles OSS-Regeln enthalten weiterhin frühere Kriterien für die Annahme von Produktschwachstellen, darunter eine Reproduktion mit OSS-Fuzz oder einen gemergten Patch bei bestimmten Speicherfehlern. Diese Abschnitte beschreiben Anforderungen für diesen Meldungstyp, stehen aber unterhalb des neuen Oktober-Stichtags. Während der Pause ermöglichen sie keine neuen OSS-VRP-Produktmeldungen.

Was eine weiterhin zulässige OSS-Meldung benötigt

Bei einem Lieferkettenfund verlangen Googles Regeln den Nachweis eines ausnutzbaren Weges, um Google-OSS-Quellcode, Build-Artefakte oder verteilte Pakete zu verändern. Ein Szenario, das erst nach Genehmigung eines externen Pull Requests durch einen Maintainer funktioniert, gilt als Insider-Risiko und kann anerkannt, aber nicht als Lieferkettenschwachstelle prämiert werden. Google nennt unter anderem Repository- und Build-Konfigurationen, Release-Infrastruktur und Veröffentlichungszugänge als relevante Angriffsflächen. Diese Beschreibungen des Umfangs sind keine Erlaubnis, die Infrastruktur anderer zu testen.

Dieser Leitfaden beruht auf Googles Programmdokumentation, geprüft am 5. Oktober 2026. BIG CHANGE hat keine Schwachstelle getestet und keine Meldung eingereicht. Vor der Einreichung sollten Sie die von Google in den Meldehinweisengeforderten Angaben zusammenstellen:

  1. Repository-URL, betroffene Softwareversion und einen aktuellen Build oder eine Konfiguration, auf die sich der Fund bezieht.
  2. Eine knappe Beschreibung des Fehlers, der erforderlichen Auslösebedingungen und seiner Sicherheitsauswirkung. Beschreiben Sie das Angriffsszenario, ohne anzunehmen, dass eine Codewarnung allein eine ausnutzbare Schwachstelle belegt.
  3. Anleitung zur Reproduktion und, sofern praktikabel, ein baubares Proof of Concept. Ergänzen Sie relevante Ausgaben oder einen Crashdump, falls vorhanden. Trennen Sie beobachtete Ergebnisse von abgeleiteten Auswirkungen.
  4. Das passende Programm und den richtigen Meldeort. Wählen Sie für eine OSS-Lieferkettenmeldung im Schritt Bug Location des Formulars OSS VRP aus und geben Sie die Repository-URL an. Für Cloud oder AI gelten jeweils die eigenen Geltungsbereiche und Formulare.

Google empfiehlt lokale Tests, soweit möglich, die Vermeidung von Störungen anderer Nutzer und den Verzicht auf automatisierte Tests mit erheblichem Datenverkehr. Die Cloud-Regeln verbieten Tests an Ressourcen von Kunden. Die AI-Regeln verlangen, dass die meldende Person das Problem verifiziert und eine erfasste Bedrohung in verständlicher Sprache erklärt. Diese Grenzen sind ebenso wichtig wie ein gutes Schreiben.

Die Programmseiten sind öffentlich und geben an, dass das Einreichen einer Schwachstellenmeldung nichts kostet. Erforderlich sind ein konkreter Fund, ein berechtigtes Ziel und eine Meldung nach den Regeln des gewählten Programms. Prämien liegen im Ermessen des Programms und variieren je nach Programm, Projektstufe und Auswirkung. Die aktuelle OSS-Prämientabelle führt keine neuen Produktschwachstellen-Prämien mehr auf; für berechtigte Lieferkettenstufen nennt sie weiterhin Prämienbereiche. Weder eine Einreichung noch eine gut formulierte Meldung garantieren eine Zahlung.

Warum Google den Meldeweg geändert hat

In einem Beitrag vom März beschrieb Google KI-gestützte Forschung als nützlich, wenn Forschende deren Ergebnisse überprüfen. Manche Meldungen hätten einen Auslöser erfunden oder einen Programmierfehler benannt, ohne eine erreichbare und bedeutsame Sicherheitsauswirkung nachzuweisen. Ein Update im April strich Prämien oder Anerkennung für Produktschwachstellen und andere Sicherheitsprobleme in Projekten der niedrigeren Stufen OT2 und OT3. Die Pause im Oktober geht für neue OSS-VRP-Produktmeldungen über alle Projektstufen hinaus. TechCrunch berichtete ebenfalls über die Pause. Googles öffentliche Aussagen belegen die Regeländerung und die genannte Begründung, enthalten aber weder Einreichungszahlen noch unabhängige Messungen dazu, wie viele ungültige Meldungen KI nutzten.

Forschende sollten den Fund anhand der geltenden Regeln einordnen, eine tatsächliche Sicherheitsfolge nachweisen und ausschließlich einen derzeit zulässigen Meldeweg nutzen. Google will den Weg für Produktmeldungen im ersten Quartal 2027 aktualisieren; bis dahin gilt der Oktober-Stichtag für neue OSS-VRP-Produktmeldungen.

Quellen und weiterführende Informationen