Markdown edition

AI-translated from English; not yet reviewed by a fluent editor.

# Itinigil ng Google ang pagtanggap ng mga bagong ulat sa kahinaan ng open-source na produkto: saan pa makapagsusumite ang mga mananaliksik

> Noong Oktubre 1, itinigil ng Google ang mga bagong pagsusumite sa OSS VRP tungkol sa mga kahinaan ng produkto. Tumatanggap pa rin ito ng mga ulat sa supply chain at nagpapatuloy ang mga dati nang kaso; maaaring may hiwalay na tuntunin ang Cloud, AI o Patch Rewards.

By BIG CHANGE Editorial

Published: 2026-10-05T04:59:25.735Z
Updated: 2026-10-05T04:59:25.735Z
Canonical: https://bigchange.ai/blog/google-oss-vrp-product-report-pause-routing-guide

![Conceptual charcoal illustration of two wall-mounted report slots: one shutter is closed, while a plain sheet rests in the other open slot.](https://bigchange.ai/api/media/file/google-oss-vrp-report-routing-hero-v2.png)
AI-generated conceptual editorial illustration by BIG CHANGE.

Mula Oktubre 1, 2026, hindi na tumatanggap ang Google ng mga bagong pagsusumite tungkol sa kahinaan ng produkto sa Open Source Software Vulnerability Reward Program (OSS VRP) nito. Ang [kasalukuyang tuntunin ng programa](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) ang nagtatakda ng huling araw. Tumatanggap pa rin ito ng mga ulat sa supply chain, at ayon sa Google, hindi maaapektuhan ang mga ulat sa produkto na naisumite bago Oktubre 1. Para sa ilang repositoryong pinamamahalaan ng Google Cloud na may kahinaang nakaaapekto sa produkto ng Cloud, maaaring tumanggap pa rin ng ulat ang [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) .

Kasunod ng [pag-update ng tuntunin noong Marso 19](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)ang paghinto. Noon, sinabi ng Google na dumarami ang ulat na likha ng AI na may maling trigger o halos walang epekto sa seguridad. Sa [pahayag noong Oktubre 1](https://x.com/GoogleVRP/status/2105689195180179605), sinabi ng Google na dumami ang mga *awtomatikong* pagsusumite, at ayon dito ay walang-bisa ang karamihan. Hindi nito sinabi na AI ang gumawa sa bawat awtomatikong ulat. Nangako ang Google ng update sa unang quarter ng 2027 ngunit hindi nagbigay ng petsa ng muling pagbubukas.

## Ang malaking pagbabago

Dati, tumatanggap ang OSS VRP ng mga kwalipikadong ulat tungkol sa kahinaan ng produkto sa mga saklaw na open-source na proyekto ng Google, depende sa antas ng proyekto at hinihinging ebidensiya. Mula Oktubre 1, naka-pause ang bagong daan para sa ulat sa produkto. Tumatanggap pa rin ang daan para sa supply chain ng mga natuklasang maaaring magkompromiso sa source code o ipinamahaging build; pinoproseso rin ang mga dati nang ulat sa produkto. Kailangang tukuyin muna ng mga mananaliksik ang uri ng natuklasan at epekto nito sa produkto bago pumili ng form. Ang tuntunin ng Google, hindi lang pag-aari nito sa repositoryo, ang magpapasya kung may ibang programang mapag-uulat.

## Tukuyin muna ang tamang daan bago magsumite

Magsimula sa [mga tuntunin ng OSS VRP](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) at alamin ang pagkakakilanlan at kasalukuyang bersiyon ng apektadong repositoryo. Sabi ng Google, saklaw ng programa ang pinakabagong bersiyon ng software sa mga pampublikong repositoryo ng mga GitHub organization na pag-aari nito, pati ilang repositoryo sa ibang platform. Hindi ibig sabihin nito na kwalipikado sa gantimpala ang bawat isyu.

| Natuklasan | Kasalukuyang daan ayon sa mga tuntunin ng Google |
| --- | --- |
| Bagong kahinaan ng produkto sa Google OSS, gaya ng depekto sa software na ginagamit ng downstream na produkto | Huwag itong isumite bilang bagong ulat sa produkto ng OSS VRP habang naka-pause ang programa. Tingnan kung saklaw ng sariling tuntunin ng ibang programa ang napatunayang epekto nito. |
| Kahinaang maaaring magkompromiso sa integridad ng source ng Google OSS o sa ipinamahaging build artifact | Suriin ang pamantayan ng supply chain ng OSS VRP, saka gamitin ang [form para sa kahinaan](https://bughunters.google.com/report) at piliin ang OSS VRP at ilagay ang URL ng repositoryo. Bukas pa ang intake na ito. |
| Ulat sa kahinaan ng produkto na naisumite bago Oktubre 1 | Ituloy ang dati nang ulat. Sabi ng Google, hindi naaapektuhan ng paghinto ang mga nakabinbing ulat. |
| Repositoryong pinamamahalaan ng Google Cloud na may epekto sa produkto o serbisyo ng Google Cloud | Tingnan ang [mga tuntunin ng Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules), kabilang ang antas ng apektadong produkto. Sabi ng Google, maaaring tanggapin doon ang ilang ganitong ulat; hindi sapat ang lokasyon lang ng repositoryo. |
| Isyu sa produkto ng AI ng Google o Alphabet kung mahalagang bahagi nito ang LLM o ibang generative AI system | Tingnan ang [mga tuntunin ng AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) .Hindi nagiging saklaw ng AI VRP ang karaniwang depekto sa code dahil lang gumamit ng AI sa pagtuklas nito. |
| Iminungkahing pagpapahusay sa seguridad o patch | Tingnan ang hiwalay na [mga tuntunin ng Patch Rewards Program](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) para sa mga kwalipikadong proyekto at pagbabago. Programa ito para sa mga patch, hindi alternatibong intake para sa parehong ulat ng kahinaang naka-pause. |

May laman pa rin ang [mga tuntunin ng OSS](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) ng Google na dating pamantayan sa pagtanggap ng kahinaan ng produkto, kabilang ang pagpaparami sa OSS-Fuzz o pinagsamang patch para sa ilang memory corruption. Inilalarawan ng mga talatang iyon ang kailangan sa ganoong uri ng ulat, pero nasa ibaba ang mga ito ng mas bagong cutoff noong Oktubre. Hindi paraan ang mga ito para magsumite ng bagong ulat sa produkto ng OSS VRP habang may paghinto.

## Mga kailangan sa nagpapatuloy na ulat sa OSS

Para sa natuklasang may kinalaman sa supply chain, hinihingi ng tuntunin ng Google na ipakita ang mapagsasamantalahang landas para mabago ang source ng Google OSS, mga build artifact o ipinamahaging package. Kung gagana lang ang sitwasyon matapos aprubahan ng maintainer ang panlabas na pull request, ituturing itong panganib mula sa insider at maaari lamang bigyan ng pagkilala, hindi gantimpala para sa kahinaan sa supply chain. Kabilang sa mga kaugnay na bahagi ang configuration ng repositoryo at build, imprastraktura ng release at kredensiyal sa paglalathala. Paglalarawan ito ng saklaw, hindi pahintulot na subukan ang imprastraktura ng iba.

Batay ang gabay na ito sa mga dokumento ng programa ng Google na sinuri noong Oktubre 5, 2026. Hindi nagsubok ng kahinaan o nagsumite ng ulat ang BIG CHANGE. Bago magsumite, ihanda ang hinihingi ng Google sa [mga tagubilin sa pag-uulat](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) :

1. URL ng repositoryo, apektadong bersiyon ng software at kamakailang build o configuration kung saan naaangkop ang natuklasan.
2. Maikling paglalarawan ng depekto, mga kondisyong kailangan para ma-trigger ito at epekto sa seguridad. Ipaliwanag ang senaryo ng pag-atake nang hindi ipinapalagay na patunay ng mapagsasamantalahang kahinaan ang babala sa code lang.
3. Mga hakbang para ulitin ang problema at, kung praktikal, isang proof of concept na maaaring buuin. Isama ang kaugnay na output o crash dump kung mayroon. Ihiwalay ang aktuwal na naobserbahan sa epekto na hinuha mo.
4. Angkop na programa at lugar ng pagsusumite. Para sa ulat sa supply chain ng OSS, piliin ang OSS VRP sa Bug Location ng vulnerability form at tukuyin ang URL ng repositoryo. Para sa Cloud o AI, sundin ang saklaw at tagubilin ng sarili nitong form.

Iminumungkahi ng Google na magsubok nang lokal kung maaari, iwasang makaistorbo ng ibang gumagamit at huwag gumamit ng awtomatikong test na lumilikha ng malaking trapiko. [Ipinagbabawal ng mga tuntunin ng Cloud](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) ang pagsubok sa resource na pag-aari ng customer. [Hinihingi ng mga tuntunin ng AI](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) na beripikahin ng nag-uulat ang isyu at ipaliwanag sa payak na pananalita ang banta na pasok sa saklaw. Kasinghalaga ng maayos na pagsulat ang mga hangganang ito.

Pampubliko ang mga pahina ng programa at sinasabing walang bayad ang pagsusumite ng ulat sa kahinaan. Kailangan ang kongkretong natuklasan, kwalipikadong target at ulat na sumusunod sa tuntunin ng napiling programa. Nasa pagpapasya ng programa ang gantimpala at nag-iiba ito ayon sa programa, antas ng proyekto at epekto. Wala nang bagong gantimpala para sa kahinaan ng produkto sa kasalukuyang talahanayan ng OSS; nakalista pa rin ang mga saklaw ng gantimpala para sa kwalipikadong antas ng supply chain. Hindi garantiya ng bayad ang pagsusumite o maayos na ulat.

## Bakit binago ng Google ang intake

Sa post nito noong Marso, sinabi ng Google na kapaki-pakinabang ang pananaliksik na tinutulungan ng AI kapag bineberipika ng mga mananaliksik ang output. May mga ulat daw na nag-imbento ng trigger o nakakita lamang ng error sa code nang hindi ipinapakitang maaabot ito at may tunay na epekto sa seguridad. Inalis ng update noong Abril ang gantimpala o pagkilala para sa kahinaan ng produkto at iba pang isyu sa mas mababang OT2 at OT3 na proyekto. Pinalawak pa ng paghinto noong Oktubre ang saklaw sa *mga bagong* ulat sa produkto ng OSS VRP sa lahat ng antas ng proyekto. Iniulat din ito ng [TechCrunch](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) .Ipinakikita ng mga pampublikong pahayag ng Google ang pagbabago at ang dahilang ibinigay nito, ngunit walang bilang ng mga pagsusumite o independiyenteng sukatan kung ilan sa mga walang-bisang ulat ang gumamit ng AI.

Kailangang uriin ngayon ng mananaliksik ang natuklasan ayon sa umiiral na tuntunin, patunayan ang tunay na epekto sa seguridad at gamitin lamang ang kasalukuyang kwalipikadong intake. Sinabi ng Google na ia-update nito ang daan para sa ulat sa produkto sa Q1 2027; hanggang noon, umiiral ang cutoff noong Oktubre para sa mga bagong pagsusumite sa produkto ng OSS VRP.

## Mga source at karagdagang babasahin

- [Mga tuntunin ng Google OSS VRP](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules); sinuri ang kasalukuyang tuntunin noong Oktubre 5, 2026. Nasa rito ang cutoff noong Oktubre 1, nagpapatuloy na saklaw ng supply chain, mga kailangan sa pag-uulat at limitasyon sa gantimpala.
- [Pag-update ng tuntunin ng Google noong Marso 19, 2026](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)at pag-update noong Abril. Itinatala nito ang mga naunang partikular na obserbasyon ng Google tungkol sa AI at mga pagbabago sa antas ng proyekto.
- [Pahayag ng Google VRP noong Oktubre 1, 2026](https://x.com/GoogleVRP/status/2105689195180179605) .Hindi makuha sa aming research environment ang direktang post sa X; natagpuan ang teksto at post ID sa pamamagitan ng [salamin ng third party](https://twstalker.com/GoogleVRP/status/2105689195180179605) at ikinumpara ang saklaw nito sa kasalukuyang tuntunin ng Google.
- [Mga tuntunin ng Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) , [AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) at [Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) ; sinuri noong Oktubre 5, 2026. Magkakahiwalay ang kwalipikasyon at kundisyon sa pag-uulat ng bawat programa.

## Sources

- [Google Bug Hunters: Pagpapasimple sa OSS VRP ng Google: Mahahalagang update sa tuntunin](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) — Inilarawan ng Google ang pagdami ng ulat na likha ng AI, ipinaliwanag kung bakit kailangan nito ng mas matibay na patunay ng epekto sa seguridad, at binago ang gantimpala ayon sa antas ng proyekto noong Abril. Nasa kasalukuyang tuntunin ng OSS VRP ang paghinto noong Oktubre.
- [Google Bug Hunters: Mga tuntunin ng OSS VRP](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) — Sinuri noong Oktubre 5, 2026. Nasa kasalukuyang tuntunin ang paghinto sa bagong ulat sa produkto noong Oktubre 1, nagpapatuloy na supply chain intake, mga tagubilin sa pag-uulat at mga kundisyon ng gantimpala.
- [Pahayag ng Google VRP (@GoogleVRP) noong Oktubre 1, 2026](https://x.com/GoogleVRP/status/2105689195180179605) — Binanggit ng pahayag noong Oktubre 1 ang pagdami ng walang-bisang awtomatikong pagsusumite. Hindi namin nakuha ang direktang post sa X; ipinakita ng salamin ng third party ang teksto at post ID. Hiwalay na kinukumpirma ng pampublikong tuntunin ng OSS ang saklaw ng paghinto.
- [Pampublikong GitHub mirror ng Google Bug Hunters para sa mga tuntunin ng OSS VRP](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) — Nasa kopya ng Google sa GitHub ang buong kasalukuyang tuntunin ng OSS VRP, kabilang ang may petsang paghinto ng ulat sa produkto at nagpapatuloy na pamantayan sa supply chain. Sinuri noong Oktubre 5, 2026.
- [Mga tuntunin ng Google Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) — Maaaring maging kwalipikado ang kahinaan sa open-source na repositoryong pinamamahalaan ng Google Cloud kung naaapektuhan nito ang produkto o serbisyo ng Cloud. Nakasalalay sa sariling tuntunin ng Cloud program ang kwalipikasyon at antas ng gantimpala. Sinuri noong Oktubre 5, 2026.
- [Mga tuntunin ng Google AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) — Saklaw nito ang ilang isyu sa produkto ng AI ng Google at Alphabet kapag mahalagang bahagi ng isyu ang pakikipag-ugnayan sa generative AI system. Kailangang beripikahin ito ng nag-uulat. Sinuri noong Oktubre 5, 2026.
- [Mga tuntunin ng Google Patch Rewards Program](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) — Hiwalay na sinusuri ng programang ito ang kwalipikadong pagpapahusay sa seguridad at patch para sa mga saklaw na open-source na proyekto ayon sa sarili nitong tuntunin sa proyekto at pagsusumite. Sinuri noong Oktubre 5, 2026.
- [TechCrunch: Pansamantalang itinigil ng Google ang open-source bug bounty kasunod ng malaking pagdami ng AI submission](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) — Nagbibigay ng konteksto sa anunsiyo ang ulat noong Oktubre 4. Ang eksaktong mga daan ng pag-uulat dito ay itinatakda ng pampublikong tuntunin ng programa ng Google.
- [Tom's Hardware: I-freeze ng Google ang open-source bug bounty program sa gitna ng dagsa ng walang-bisang AI submission](https://www.tomshardware.com/tech-industry/artificial-intelligence/google-suspends-part-of-the-oss-vrp-bug-bounty-program-due-to-an-influx-of-invalid-ai-submissions-product-vulnerability-submissions-ended-october-1) — Ulat noong Oktubre 3 tungkol sa anunsiyo. Binanggit ng pahayag ng Google noong Oktubre ang mga awtomatikong pagsusumite; hiwalay na tinalakay ng post nito noong Marso ang mga ulat na likha ng AI.