Mula Oktubre 1, 2026, hindi na tumatanggap ang Google ng mga bagong pagsusumite tungkol sa kahinaan ng produkto sa Open Source Software Vulnerability Reward Program (OSS VRP) nito. Ang kasalukuyang tuntunin ng programa ang nagtatakda ng huling araw. Tumatanggap pa rin ito ng mga ulat sa supply chain, at ayon sa Google, hindi maaapektuhan ang mga ulat sa produkto na naisumite bago Oktubre 1. Para sa ilang repositoryong pinamamahalaan ng Google Cloud na may kahinaang nakaaapekto sa produkto ng Cloud, maaaring tumanggap pa rin ng ulat ang Cloud VRP .
Kasunod ng pag-update ng tuntunin noong Marso 19ang paghinto. Noon, sinabi ng Google na dumarami ang ulat na likha ng AI na may maling trigger o halos walang epekto sa seguridad. Sa pahayag noong Oktubre 1, sinabi ng Google na dumami ang mga awtomatikong pagsusumite, at ayon dito ay walang-bisa ang karamihan. Hindi nito sinabi na AI ang gumawa sa bawat awtomatikong ulat. Nangako ang Google ng update sa unang quarter ng 2027 ngunit hindi nagbigay ng petsa ng muling pagbubukas.
Ang malaking pagbabago
Dati, tumatanggap ang OSS VRP ng mga kwalipikadong ulat tungkol sa kahinaan ng produkto sa mga saklaw na open-source na proyekto ng Google, depende sa antas ng proyekto at hinihinging ebidensiya. Mula Oktubre 1, naka-pause ang bagong daan para sa ulat sa produkto. Tumatanggap pa rin ang daan para sa supply chain ng mga natuklasang maaaring magkompromiso sa source code o ipinamahaging build; pinoproseso rin ang mga dati nang ulat sa produkto. Kailangang tukuyin muna ng mga mananaliksik ang uri ng natuklasan at epekto nito sa produkto bago pumili ng form. Ang tuntunin ng Google, hindi lang pag-aari nito sa repositoryo, ang magpapasya kung may ibang programang mapag-uulat.
Tukuyin muna ang tamang daan bago magsumite
Magsimula sa mga tuntunin ng OSS VRP at alamin ang pagkakakilanlan at kasalukuyang bersiyon ng apektadong repositoryo. Sabi ng Google, saklaw ng programa ang pinakabagong bersiyon ng software sa mga pampublikong repositoryo ng mga GitHub organization na pag-aari nito, pati ilang repositoryo sa ibang platform. Hindi ibig sabihin nito na kwalipikado sa gantimpala ang bawat isyu.
Natuklasan | Kasalukuyang daan ayon sa mga tuntunin ng Google |
|---|---|
Bagong kahinaan ng produkto sa Google OSS, gaya ng depekto sa software na ginagamit ng downstream na produkto | Huwag itong isumite bilang bagong ulat sa produkto ng OSS VRP habang naka-pause ang programa. Tingnan kung saklaw ng sariling tuntunin ng ibang programa ang napatunayang epekto nito. |
Kahinaang maaaring magkompromiso sa integridad ng source ng Google OSS o sa ipinamahaging build artifact | Suriin ang pamantayan ng supply chain ng OSS VRP, saka gamitin ang form para sa kahinaan at piliin ang OSS VRP at ilagay ang URL ng repositoryo. Bukas pa ang intake na ito. |
Ulat sa kahinaan ng produkto na naisumite bago Oktubre 1 | Ituloy ang dati nang ulat. Sabi ng Google, hindi naaapektuhan ng paghinto ang mga nakabinbing ulat. |
Repositoryong pinamamahalaan ng Google Cloud na may epekto sa produkto o serbisyo ng Google Cloud | Tingnan ang mga tuntunin ng Cloud VRP, kabilang ang antas ng apektadong produkto. Sabi ng Google, maaaring tanggapin doon ang ilang ganitong ulat; hindi sapat ang lokasyon lang ng repositoryo. |
Isyu sa produkto ng AI ng Google o Alphabet kung mahalagang bahagi nito ang LLM o ibang generative AI system | Tingnan ang mga tuntunin ng AI VRP .Hindi nagiging saklaw ng AI VRP ang karaniwang depekto sa code dahil lang gumamit ng AI sa pagtuklas nito. |
Iminungkahing pagpapahusay sa seguridad o patch | Tingnan ang hiwalay na mga tuntunin ng Patch Rewards Program para sa mga kwalipikadong proyekto at pagbabago. Programa ito para sa mga patch, hindi alternatibong intake para sa parehong ulat ng kahinaang naka-pause. |
May laman pa rin ang mga tuntunin ng OSS ng Google na dating pamantayan sa pagtanggap ng kahinaan ng produkto, kabilang ang pagpaparami sa OSS-Fuzz o pinagsamang patch para sa ilang memory corruption. Inilalarawan ng mga talatang iyon ang kailangan sa ganoong uri ng ulat, pero nasa ibaba ang mga ito ng mas bagong cutoff noong Oktubre. Hindi paraan ang mga ito para magsumite ng bagong ulat sa produkto ng OSS VRP habang may paghinto.
Mga kailangan sa nagpapatuloy na ulat sa OSS
Para sa natuklasang may kinalaman sa supply chain, hinihingi ng tuntunin ng Google na ipakita ang mapagsasamantalahang landas para mabago ang source ng Google OSS, mga build artifact o ipinamahaging package. Kung gagana lang ang sitwasyon matapos aprubahan ng maintainer ang panlabas na pull request, ituturing itong panganib mula sa insider at maaari lamang bigyan ng pagkilala, hindi gantimpala para sa kahinaan sa supply chain. Kabilang sa mga kaugnay na bahagi ang configuration ng repositoryo at build, imprastraktura ng release at kredensiyal sa paglalathala. Paglalarawan ito ng saklaw, hindi pahintulot na subukan ang imprastraktura ng iba.
Batay ang gabay na ito sa mga dokumento ng programa ng Google na sinuri noong Oktubre 5, 2026. Hindi nagsubok ng kahinaan o nagsumite ng ulat ang BIG CHANGE. Bago magsumite, ihanda ang hinihingi ng Google sa mga tagubilin sa pag-uulat :
- URL ng repositoryo, apektadong bersiyon ng software at kamakailang build o configuration kung saan naaangkop ang natuklasan.
- Maikling paglalarawan ng depekto, mga kondisyong kailangan para ma-trigger ito at epekto sa seguridad. Ipaliwanag ang senaryo ng pag-atake nang hindi ipinapalagay na patunay ng mapagsasamantalahang kahinaan ang babala sa code lang.
- Mga hakbang para ulitin ang problema at, kung praktikal, isang proof of concept na maaaring buuin. Isama ang kaugnay na output o crash dump kung mayroon. Ihiwalay ang aktuwal na naobserbahan sa epekto na hinuha mo.
- Angkop na programa at lugar ng pagsusumite. Para sa ulat sa supply chain ng OSS, piliin ang OSS VRP sa Bug Location ng vulnerability form at tukuyin ang URL ng repositoryo. Para sa Cloud o AI, sundin ang saklaw at tagubilin ng sarili nitong form.
Iminumungkahi ng Google na magsubok nang lokal kung maaari, iwasang makaistorbo ng ibang gumagamit at huwag gumamit ng awtomatikong test na lumilikha ng malaking trapiko. Ipinagbabawal ng mga tuntunin ng Cloud ang pagsubok sa resource na pag-aari ng customer. Hinihingi ng mga tuntunin ng AI na beripikahin ng nag-uulat ang isyu at ipaliwanag sa payak na pananalita ang banta na pasok sa saklaw. Kasinghalaga ng maayos na pagsulat ang mga hangganang ito.
Pampubliko ang mga pahina ng programa at sinasabing walang bayad ang pagsusumite ng ulat sa kahinaan. Kailangan ang kongkretong natuklasan, kwalipikadong target at ulat na sumusunod sa tuntunin ng napiling programa. Nasa pagpapasya ng programa ang gantimpala at nag-iiba ito ayon sa programa, antas ng proyekto at epekto. Wala nang bagong gantimpala para sa kahinaan ng produkto sa kasalukuyang talahanayan ng OSS; nakalista pa rin ang mga saklaw ng gantimpala para sa kwalipikadong antas ng supply chain. Hindi garantiya ng bayad ang pagsusumite o maayos na ulat.
Bakit binago ng Google ang intake
Sa post nito noong Marso, sinabi ng Google na kapaki-pakinabang ang pananaliksik na tinutulungan ng AI kapag bineberipika ng mga mananaliksik ang output. May mga ulat daw na nag-imbento ng trigger o nakakita lamang ng error sa code nang hindi ipinapakitang maaabot ito at may tunay na epekto sa seguridad. Inalis ng update noong Abril ang gantimpala o pagkilala para sa kahinaan ng produkto at iba pang isyu sa mas mababang OT2 at OT3 na proyekto. Pinalawak pa ng paghinto noong Oktubre ang saklaw sa mga bagong ulat sa produkto ng OSS VRP sa lahat ng antas ng proyekto. Iniulat din ito ng TechCrunch .Ipinakikita ng mga pampublikong pahayag ng Google ang pagbabago at ang dahilang ibinigay nito, ngunit walang bilang ng mga pagsusumite o independiyenteng sukatan kung ilan sa mga walang-bisang ulat ang gumamit ng AI.
Kailangang uriin ngayon ng mananaliksik ang natuklasan ayon sa umiiral na tuntunin, patunayan ang tunay na epekto sa seguridad at gamitin lamang ang kasalukuyang kwalipikadong intake. Sinabi ng Google na ia-update nito ang daan para sa ulat sa produkto sa Q1 2027; hanggang noon, umiiral ang cutoff noong Oktubre para sa mga bagong pagsusumite sa produkto ng OSS VRP.
Mga source at karagdagang babasahin
- Mga tuntunin ng Google OSS VRP; sinuri ang kasalukuyang tuntunin noong Oktubre 5, 2026. Nasa rito ang cutoff noong Oktubre 1, nagpapatuloy na saklaw ng supply chain, mga kailangan sa pag-uulat at limitasyon sa gantimpala.
- Pag-update ng tuntunin ng Google noong Marso 19, 2026at pag-update noong Abril. Itinatala nito ang mga naunang partikular na obserbasyon ng Google tungkol sa AI at mga pagbabago sa antas ng proyekto.
- Pahayag ng Google VRP noong Oktubre 1, 2026 .Hindi makuha sa aming research environment ang direktang post sa X; natagpuan ang teksto at post ID sa pamamagitan ng salamin ng third party at ikinumpara ang saklaw nito sa kasalukuyang tuntunin ng Google.
- Mga tuntunin ng Cloud VRP , AI VRP at Patch Rewards ; sinuri noong Oktubre 5, 2026. Magkakahiwalay ang kwalipikasyon at kundisyon sa pag-uulat ng bawat programa.
