1 अक्टूबर 2026 से Google अपने ओपन सोर्स सॉफ्टवेयर वल्नरेबिलिटी रिवॉर्ड प्रोग्राम (OSS VRP) में उत्पाद भेद्यताओं की नई रिपोर्ट स्वीकार नहीं कर रहा है। कार्यक्रम के मौजूदा नियम कटऑफ की तारीख स्पष्ट करते हैं। सप्लाई-चेन रिपोर्ट अब भी स्वीकार की जाती हैं, और Google का कहना है कि 1 अक्टूबर से पहले दर्ज उत्पाद रिपोर्टें प्रभावित नहीं होंगी। Google Cloud द्वारा बनाए रखे गए कुछ ऐसे रिपॉज़िटरी, जिनकी भेद्यता Cloud उत्पाद को प्रभावित करे, वहाँ Cloud VRP में अब भी उत्पाद रिपोर्ट स्वीकार हो सकती है।

यह रोक Google के 19 मार्च के नियम अपडेटके बाद आई। तब कंपनी ने कहा था कि AI से बनी रिपोर्टें बढ़ रही हैं, जिनमें गलत ट्रिगर या बहुत मामूली सुरक्षा प्रभाव शामिल थे। 1 अक्टूबर के बयानमें Google ने स्वचालित सबमिशन बढ़ने की बात कही और बताया कि उसके अनुसार उनमें से अधिकतर अमान्य थे। अक्टूबर के बयान ने हर स्वचालित रिपोर्ट को AI-जनित नहीं बताया। Google ने 2027 की पहली तिमाही में अपडेट देने का वादा किया, लेकिन दोबारा शुरू होने की तारीख नहीं बताई।

बड़ा बदलाव

पहले OSS VRP, परियोजना स्तर और सबूत की शर्तों के अधीन, Google के पात्र ओपन-सोर्स प्रोजेक्टों में उत्पाद भेद्यता की योग्य रिपोर्ट स्वीकार करता था। 1 अक्टूबर से नए उत्पाद रिपोर्ट का रास्ता रुका है। सप्लाई-चेन रास्ता अब भी ऐसे निष्कर्ष स्वीकार करता है जो सोर्स कोड या वितरित बिल्ड को खतरे में डाल सकते हैं, और पहले दर्ज उत्पाद रिपोर्टों पर काम जारी है। शोधकर्ताओं को अब फॉर्म चुनने से पहले निष्कर्ष का प्रकार और उत्पाद पर उसका असर तय करना होगा। दूसरा कार्यक्रम उपलब्ध है या नहीं, यह Google के नियम तय करते हैं; केवल रिपॉज़िटरी का Google के स्वामित्व में होना काफी नहीं।

रिपोर्ट करने से पहले सही रास्ता चुनें

पहले OSS VRP के नियम देखें और प्रभावित रिपॉज़िटरी की पहचान तथा उसका मौजूदा संस्करण जाँचें। Google के अनुसार कार्यक्रम में Google के स्वामित्व वाले GitHub संगठनों के सार्वजनिक रिपॉज़िटरी में सॉफ्टवेयर के नवीनतम संस्करण और अन्य प्लेटफॉर्मों के कुछ चुने हुए रिपॉज़िटरी शामिल हैं। इस दायरे में होना अपने-आप इनाम की पात्रता नहीं देता।

निष्कर्ष

Google के नियमों के तहत मौजूदा रास्ता

Google OSS में नई उत्पाद भेद्यता, जैसे किसी निर्भर उत्पाद द्वारा इस्तेमाल किए जाने वाले सॉफ्टवेयर की खामी

रोक के दौरान इसे OSS VRP की नई उत्पाद रिपोर्ट के रूप में न भेजें। देखें कि साबित हुआ असर किसी अन्य कार्यक्रम के अपने नियमों के दायरे में आता है या नहीं।

ऐसी कमजोरी जो Google OSS के सोर्स की अखंडता या वितरित बिल्ड आर्टिफैक्ट को खतरे में डाल सकती है

OSS VRP के सप्लाई-चेन मानदंड जाँचें, फिर Google का भेद्यता फॉर्म इस्तेमाल करें; उसमें OSS VRP चुनकर रिपॉज़िटरी URL दें। यह रास्ता खुला है।

1 अक्टूबर से पहले दर्ज उत्पाद निष्कर्ष

मौजूदा रिपोर्ट पर आगे बढ़ें। Google कहता है कि रोक लंबित रिपोर्टों को प्रभावित नहीं करती।

Google Cloud द्वारा बनाए रखा रिपॉज़िटरी, जिसकी समस्या Google Cloud उत्पाद या सेवा को प्रभावित करे

प्रभावित उत्पाद का स्तर भी देखकर Cloud VRP के नियमजाँचें। Google कहता है कि ऐसी कुछ रिपोर्टें वहाँ स्वीकार हो सकती हैं; केवल रिपॉज़िटरी का स्थान पर्याप्त नहीं है।

Google या Alphabet के AI उत्पाद में समस्या, जहाँ LLM या कोई अन्य जनरेटिव AI प्रणाली उस समस्या का अभिन्न हिस्सा हो

इन AI VRP के नियमदेखें। AI से किसी सामान्य कोड खामी का पता लगना अपने-आप उसे AI VRP के दायरे में नहीं लाता।

प्रस्तावित सुरक्षा सुधार या पैच

योग्य परियोजनाओं और बदलावों के लिए अलग Patch Rewards Program के नियम देखें। यह पैच कार्यक्रम है, रुकी हुई उसी भेद्यता रिपोर्ट का वैकल्पिक रास्ता नहीं।

Google के OSS नियम में उत्पाद भेद्यताओं के पुराने स्वीकृति मानदंड अब भी हैं, जिनमें कुछ मेमोरी करप्शन मामलों के लिए OSS-Fuzz से पुनरुत्पादन या मर्ज किया गया पैच शामिल है। ये अनुच्छेद उस रिपोर्ट प्रकार की शर्तें बताते हैं, लेकिन अक्टूबर की नई कटऑफ के नीचे हैं। रोक लागू रहने तक ये OSS VRP में नई उत्पाद रिपोर्ट जमा करने का तरीका नहीं हैं।

जारी OSS रिपोर्ट के लिए क्या चाहिए

सप्लाई-चेन निष्कर्ष के लिए Google के नियम शोधकर्ताओं से ऐसा शोषणयोग्य रास्ता दिखाने को कहते हैं जिससे Google OSS का सोर्स, बिल्ड आर्टिफैक्ट या वितरित पैकेज बदला जा सके। यदि कोई स्थिति केवल तब काम करे जब मेंटेनर बाहरी पुल रिक्वेस्ट को मंजूरी दे, तो उसे अंदरूनी जोखिम माना जाता है और सप्लाई-चेन भेद्यता इनाम के बजाय श्रेय मिल सकता है। Google संबंधित क्षेत्रों में रिपॉज़िटरी व बिल्ड कॉन्फ़िगरेशन, रिलीज़ इन्फ्रास्ट्रक्चर और प्रकाशन क्रेडेंशियल बताता है। यह दायरे का वर्णन है, किसी और के इन्फ्रास्ट्रक्चर की जाँच की अनुमति नहीं।

यह मार्गदर्शिका 5 अक्टूबर 2026 को जाँचे गए Google कार्यक्रम दस्तावेज़ों पर आधारित है। BIG CHANGE ने किसी भेद्यता का परीक्षण या रिपोर्ट जमा नहीं की। भेजने से पहले Google के रिपोर्टिंग निर्देशोंमें माँगी गई चीज़ें जुटाएँ:

  1. रिपॉज़िटरी URL, प्रभावित सॉफ्टवेयर संस्करण और हाल का बिल्ड या कॉन्फ़िगरेशन जिस पर निष्कर्ष लागू होता है।
  2. खामी, उसे सक्रिय करने की शर्तें और सुरक्षा प्रभाव का संक्षिप्त विवरण। हमले का परिदृश्य समझाएँ; केवल कोड चेतावनी को शोषणयोग्य भेद्यता का प्रमाण न मानें।
  3. पुनरुत्पादन के निर्देश और जहाँ व्यावहारिक हो, बिल्ड किया जा सकने वाला प्रूफ ऑफ कॉन्सेप्ट। उपलब्ध होने पर संबंधित आउटपुट या क्रैश डंप शामिल करें। देखे गए परिणाम और अनुमानित प्रभाव को अलग रखें।
  4. उचित कार्यक्रम और रिपोर्ट स्थान। OSS सप्लाई-चेन रिपोर्ट के लिए भेद्यता फॉर्म के Bug Location चरण में OSS VRP चुनें और रिपॉज़िटरी URL दें। Cloud या AI के लिए उसी कार्यक्रम के दायरे और फॉर्म निर्देशों का पालन करें।

Google जहाँ संभव हो स्थानीय परीक्षण, अन्य उपयोगकर्ताओं को बाधित न करने और बहुत अधिक ट्रैफिक पैदा करने वाले स्वचालित परीक्षण न चलाने की सलाह देता है। Cloud के नियम ग्राहक के स्वामित्व वाले संसाधनों की जाँच पर रोक लगाते हैं। AI के नियम रिपोर्ट करने वाले से समस्या सत्यापित करने और दायरे में आने वाले खतरे को सरल भाषा में समझाने की माँग करते हैं। ये सीमाएँ रिपोर्ट की गुणवत्ता जितनी ही अहम हैं।

कार्यक्रम के पृष्ठ सार्वजनिक हैं और बताते हैं कि भेद्यता रिपोर्ट जमा करने का कोई शुल्क नहीं है। व्यावहारिक शर्तें हैं ठोस निष्कर्ष, पात्र लक्ष्य और चुने गए कार्यक्रम के नियमों के अनुरूप रिपोर्ट। इनाम कार्यक्रम के विवेक पर है और कार्यक्रम, परियोजना स्तर तथा प्रभाव के अनुसार बदलता है। मौजूदा OSS इनाम तालिका में नई उत्पाद भेद्यताओं के इनाम नहीं हैं; पात्र स्तरों की सप्लाई-चेन भेद्यताओं के इनाम दायरे अब भी सूचीबद्ध हैं। जमा करना या सुव्यवस्थित रिपोर्ट भुगतान की गारंटी नहीं देता।

Google ने रिपोर्ट लेने का रास्ता क्यों बदला

मार्च की पोस्ट में Google ने कहा कि शोधकर्ता परिणामों को सत्यापित करें तो AI-सहायता प्राप्त शोध उपयोगी हो सकता है। कंपनी के अनुसार, कुछ रिपोर्टों ने ट्रिगर गढ़े या पहुँच योग्य और सार्थक सुरक्षा प्रभाव दिखाए बिना कोडिंग त्रुटि बताई। अप्रैल अपडेट ने निचले OT2 और OT3 परियोजनाओं में उत्पाद भेद्यताओं और अन्य सुरक्षा मुद्दों के इनाम या श्रेय हटा दिए। अक्टूबर की रोक सभी परियोजना स्तरों पर नई OSS VRP उत्पाद रिपोर्टों तक और आगे जाती है। TechCrunch ने भी रोक की खबर दी। Google के सार्वजनिक बयान नियम बदलाव और उसका बताया कारण स्थापित करते हैं, लेकिन सबमिशन की संख्या या अमान्य रिपोर्टों में AI के उपयोग का स्वतंत्र माप नहीं देते।

शोधकर्ता का तात्कालिक काम है निष्कर्ष को मौजूदा नियमों के अनुसार वर्गीकृत करना, वास्तविक सुरक्षा परिणाम दिखाना और केवल मौजूदा पात्र रास्ता इस्तेमाल करना। Google ने 2027 की पहली तिमाही में उत्पाद रिपोर्ट के रास्ते को अपडेट करने की बात कही है; तब तक नई OSS VRP उत्पाद रिपोर्टों पर अक्टूबर की कटऑफ लागू है।

स्रोत और आगे पढ़ें

  • Google OSS VRP नियम; मौजूदा नियम 5 अक्टूबर 2026 को जाँचे गए। इनमें 1 अक्टूबर की कटऑफ, जारी सप्लाई-चेन दायरा, रिपोर्टिंग शर्तें और इनाम सीमाएँ हैं।
  • Google का 19 मार्च 2026 का नियम अपडेटऔर अप्रैल अपडेट। ये AI-संबंधी पहले के विशिष्ट अवलोकन और परियोजना स्तर में बदलाव दर्ज करते हैं।
  • Google VRP का 1 अक्टूबर 2026 का बयान .हमारे शोध वातावरण में X की सीधी पोस्ट उपलब्ध नहीं थी; उसका पाठ और पोस्ट ID तीसरे पक्ष की प्रति से मिले और दायरे की Google के मौजूदा नियमों से जाँच की गई।
  • Cloud VRP , AI VRP और Patch Rewards के नियम; 5 अक्टूबर 2026 को जाँचे गए। हर कार्यक्रम की पात्रता और रिपोर्टिंग शर्तें अलग हैं।