Desde el 1 de octubre de 2026, Google dejó de aceptar nuevas comunicaciones de vulnerabilidades de productos en su Programa de Recompensas por Vulnerabilidades de Software de Código Abierto (OSS VRP). Las reglas vigentes del programa establecen el corte. Siguen aceptándose informes sobre la cadena de suministro y Google afirma que la pausa no afecta a los informes de productos presentados antes del 1 de octubre. Para ciertos repositorios mantenidos por Google Cloud cuyas vulnerabilidades afecten a productos de Cloud, Cloud VRP podría seguir aceptando informes de productos.
La pausa se produjo después de la actualización de reglas del 19 de marzode Google. Entonces la empresa dijo que aumentaban los informes generados por IA que incluían detonantes incorrectos o un impacto de seguridad insignificante. En su declaración del 1 de octubre, Google describió un aumento de los envíos automatizados y afirmó que la gran mayoría eran inválidos. La declaración de octubre no calificó todos los informes automatizados como generados por IA. Google prometió una actualización para el primer trimestre de 2027, sin anunciar una fecha de reapertura.
El gran cambio
Antes, OSS VRP aceptaba informes admisibles de vulnerabilidades de productos en proyectos elegibles de código abierto de Google, sujetos al nivel del proyecto y a requisitos de evidencia. Desde el 1 de octubre, está pausada la vía para nuevos informes de productos. La vía de cadena de suministro sigue aceptando hallazgos que podrían comprometer el código fuente o las compilaciones distribuidas, y los informes de productos ya presentados siguen en trámite. Ahora los investigadores deben determinar el tipo de hallazgo y su impacto en el producto antes de elegir un formulario. Las reglas de Google, y no solo la propiedad de Google sobre el repositorio, determinan si hay otro programa disponible.
Identifique la vía antes de informar
Empiece por las reglas de OSS VRP y compruebe la identidad del repositorio afectado y su versión vigente. Google dice que el programa cubre las versiones más recientes del software en repositorios públicos de organizaciones de GitHub que le pertenecen, además de algunos repositorios en otras plataformas. Ese alcance no implica que todo problema pueda optar a una recompensa.
Hallazgo | Vía vigente según las reglas de Google |
|---|---|
Nueva vulnerabilidad de producto en Google OSS, como un defecto en software utilizado por un producto posterior | No la presente como un nuevo informe de producto de OSS VRP durante la pausa. Compruebe si el impacto demostrado cumple las reglas propias de otro programa. |
Debilidad que podría comprometer la integridad del código fuente de Google OSS o de artefactos de compilación distribuidos | Revise los criterios de cadena de suministro de OSS VRP y utilice el formulario de vulnerabilidades de Google con OSS VRP seleccionado y la URL del repositorio. Esta vía sigue abierta. |
Hallazgo de producto ya comunicado antes del 1 de octubre | Continúe con el informe existente. Google afirma que la pausa no afecta a los informes pendientes. |
Repositorio mantenido por Google Cloud con impacto en un producto o servicio de Google Cloud | Consulte las reglas de Cloud VRP, incluido el nivel del producto afectado. Google dice que algunos de estos informes podrían aceptarse allí; la ubicación del repositorio, por sí sola, no basta. |
Problema en un producto de IA de Google o Alphabet en el que un LLM u otro sistema de IA generativa sea parte integral del problema | Consulte las reglas de AI VRP .Usar IA para descubrir un defecto de código convencional no lo convierte por sí mismo en un caso de AI VRP. |
Mejora de seguridad o parche propuesto | Consulte las reglas independientes del programa Patch Rewards para conocer los proyectos y cambios admisibles. Es un programa de parches, no una vía alternativa para presentar la misma vulnerabilidad cuyo informe está pausado. |
Las reglas OSS de Google aún contienen los antiguos criterios de aceptación de vulnerabilidades de productos, como la reproducción con OSS-Fuzz o un parche fusionado para ciertos casos de corrupción de memoria. Esos párrafos describen los requisitos de ese tipo de informe, pero aparecen por debajo del nuevo corte de octubre. No permiten presentar una nueva vulnerabilidad de producto a OSS VRP mientras dure la pausa.
Qué necesita un informe OSS que sigue admitiéndose
Para un hallazgo de cadena de suministro, las reglas de Google piden demostrar una vía explotable para modificar el código fuente de Google OSS, los artefactos de compilación o los paquetes distribuidos. Un escenario que solo funciona después de que un responsable apruebe una solicitud de cambios externa se trata como riesgo interno y puede recibir crédito, pero no una recompensa por vulnerabilidad de cadena de suministro. Google enumera entre las superficies pertinentes la configuración de repositorios y compilaciones, la infraestructura de publicación y las credenciales de distribución. Son descripciones del alcance, no permiso para probar infraestructura ajena.
Esta guía se basa en la documentación de los programas de Google revisada el 5 de octubre de 2026. BIG CHANGE no probó ninguna vulnerabilidad ni presentó un informe. Antes de enviar uno, reúna los elementos que Google solicita en sus instrucciones para informar :
- La URL del repositorio, la versión del software afectada y una compilación o configuración reciente a la que se aplique el hallazgo.
- Una descripción concisa del defecto, las condiciones necesarias para activarlo y su impacto de seguridad. Explique el escenario de ataque sin asumir que una advertencia en el código demuestra por sí sola una vulnerabilidad explotable.
- Instrucciones para reproducirlo y, cuando sea práctico, una prueba de concepto compilable. Incluya resultados pertinentes o un volcado de memoria si están disponibles. Separe lo observado del impacto que infiere.
- El programa y el lugar de envío adecuados. Para un informe de cadena de suministro OSS, seleccione OSS VRP en el paso Bug Location del formulario de vulnerabilidades e indique la URL del repositorio. Para Cloud o AI, siga el alcance y las instrucciones de sus propios formularios.
Google recomienda probar localmente cuando sea posible, evitar interrumpir a otros usuarios y no usar pruebas automatizadas que generen mucho tráfico. Sus reglas de Cloud prohíben probar recursos propiedad de clientes. Las reglas de AI exigen que quien informa verifique el problema y explique en lenguaje claro una amenaza incluida en el alcance. Estos límites importan tanto como la calidad del informe.
Las páginas de los programas son públicas e indican que presentar un informe de vulnerabilidad no tiene coste. Los requisitos prácticos son un hallazgo concreto, un objetivo admisible y un informe que cumpla las reglas del programa elegido. Las recompensas son discrecionales y varían según el programa, el nivel del proyecto y el impacto. La tabla vigente de OSS ya no incluye recompensas por nuevas vulnerabilidades de productos; sí mantiene rangos de recompensa para vulnerabilidades de cadena de suministro en niveles elegibles. Ni el envío ni un informe bien redactado garantizan un pago.
Por qué Google cambió la recepción de informes
En una publicación de marzo, Google describió la investigación asistida por IA como útil cuando los investigadores verifican sus resultados. Dijo que algunos informes inventaban un detonante o señalaban un error de programación sin demostrar un impacto de seguridad alcanzable y significativo. Una actualización de abril eliminó las recompensas o créditos por vulnerabilidades de productos y otros problemas de seguridad en proyectos de nivel inferior OT2 y OT3. La pausa de octubre va más allá para los nuevos informes de productos OSS VRP en todos los niveles de proyecto. TechCrunch también informó de la pausa. Las declaraciones públicas de Google establecen el cambio de reglas y la justificación que ofrece, pero no incluyen cifras de envíos ni una medición independiente de cuántos informes inválidos utilizaron IA.
La tarea inmediata del investigador es clasificar el hallazgo según las reglas vigentes, demostrar una consecuencia de seguridad real y usar solo una vía de recepción que siga habilitada. Google dice que actualizará la vía de informes de productos en el primer trimestre de 2027; hasta entonces, el corte de octubre rige los nuevos informes de productos OSS VRP.
Fuentes y lecturas adicionales
- Reglas de Google OSS VRP; reglas vigentes consultadas el 5 de octubre de 2026. Indican el corte del 1 de octubre, el alcance de cadena de suministro que continúa, los requisitos de comunicación y los límites de las recompensas.
- Actualización de reglas de Google del 19 de marzo de 2026y actualización de abril. Documentan las observaciones anteriores de Google específicamente relacionadas con IA y los cambios por nivel de proyecto.
- Declaración de Google VRP del 1 de octubre de 2026 .La publicación directa de X no estaba disponible en nuestro entorno de investigación; el texto y el ID se localizaron mediante una copia de terceros y su alcance se contrastó con las reglas vigentes de Google.
- Cloud VRP , AI VRP y Patch Rewards ; consultados el 5 de octubre de 2026. Cada programa tiene requisitos propios de elegibilidad y comunicación.
