AI-translated from English; not yet reviewed by a fluent editor.

# Google ने ओपन-सोर्स उत्पादों की नई भेद्यता रिपोर्टें रोक दीं: शोधकर्ता अब कहाँ रिपोर्ट कर सकते हैं

> Google ने 1 अक्टूबर को OSS VRP में उत्पाद भेद्यता की नई रिपोर्टें रोक दीं। सप्लाई-चेन रिपोर्ट और पहले से खुले मामले जारी हैं; कुछ निष्कर्षों पर Cloud, AI या Patch Rewards के अलग नियम लागू हो सकते हैं।

By BIG CHANGE Editorial

Published: 2026-10-05T04:59:25.735Z
Updated: 2026-10-05T04:59:25.735Z
Canonical: https://bigchange.ai/blog/google-oss-vrp-product-report-pause-routing-guide

![Conceptual charcoal illustration of two wall-mounted report slots: one shutter is closed, while a plain sheet rests in the other open slot.](https://bigchange.ai/api/media/file/google-oss-vrp-report-routing-hero-v2.png)
AI-generated conceptual editorial illustration by BIG CHANGE.

1 अक्टूबर 2026 से Google अपने ओपन सोर्स सॉफ्टवेयर वल्नरेबिलिटी रिवॉर्ड प्रोग्राम (OSS VRP) में उत्पाद भेद्यताओं की नई रिपोर्ट स्वीकार नहीं कर रहा है। [कार्यक्रम के मौजूदा नियम](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) कटऑफ की तारीख स्पष्ट करते हैं। सप्लाई-चेन रिपोर्ट अब भी स्वीकार की जाती हैं, और Google का कहना है कि 1 अक्टूबर से पहले दर्ज उत्पाद रिपोर्टें प्रभावित नहीं होंगी। Google Cloud द्वारा बनाए रखे गए कुछ ऐसे रिपॉज़िटरी, जिनकी भेद्यता Cloud उत्पाद को प्रभावित करे, वहाँ [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) में अब भी उत्पाद रिपोर्ट स्वीकार हो सकती है।

यह रोक Google के [19 मार्च के नियम अपडेट](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)के बाद आई। तब कंपनी ने कहा था कि AI से बनी रिपोर्टें बढ़ रही हैं, जिनमें गलत ट्रिगर या बहुत मामूली सुरक्षा प्रभाव शामिल थे। [1 अक्टूबर के बयान](https://x.com/GoogleVRP/status/2105689195180179605)में Google ने *स्वचालित* सबमिशन बढ़ने की बात कही और बताया कि उसके अनुसार उनमें से अधिकतर अमान्य थे। अक्टूबर के बयान ने हर स्वचालित रिपोर्ट को AI-जनित नहीं बताया। Google ने 2027 की पहली तिमाही में अपडेट देने का वादा किया, लेकिन दोबारा शुरू होने की तारीख नहीं बताई।

## बड़ा बदलाव

पहले OSS VRP, परियोजना स्तर और सबूत की शर्तों के अधीन, Google के पात्र ओपन-सोर्स प्रोजेक्टों में उत्पाद भेद्यता की योग्य रिपोर्ट स्वीकार करता था। 1 अक्टूबर से नए उत्पाद रिपोर्ट का रास्ता रुका है। सप्लाई-चेन रास्ता अब भी ऐसे निष्कर्ष स्वीकार करता है जो सोर्स कोड या वितरित बिल्ड को खतरे में डाल सकते हैं, और पहले दर्ज उत्पाद रिपोर्टों पर काम जारी है। शोधकर्ताओं को अब फॉर्म चुनने से पहले निष्कर्ष का प्रकार और उत्पाद पर उसका असर तय करना होगा। दूसरा कार्यक्रम उपलब्ध है या नहीं, यह Google के नियम तय करते हैं; केवल रिपॉज़िटरी का Google के स्वामित्व में होना काफी नहीं।

## रिपोर्ट करने से पहले सही रास्ता चुनें

पहले [OSS VRP के नियम](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) देखें और प्रभावित रिपॉज़िटरी की पहचान तथा उसका मौजूदा संस्करण जाँचें। Google के अनुसार कार्यक्रम में Google के स्वामित्व वाले GitHub संगठनों के सार्वजनिक रिपॉज़िटरी में सॉफ्टवेयर के नवीनतम संस्करण और अन्य प्लेटफॉर्मों के कुछ चुने हुए रिपॉज़िटरी शामिल हैं। इस दायरे में होना अपने-आप इनाम की पात्रता नहीं देता।

| निष्कर्ष | Google के नियमों के तहत मौजूदा रास्ता |
| --- | --- |
| Google OSS में नई उत्पाद भेद्यता, जैसे किसी निर्भर उत्पाद द्वारा इस्तेमाल किए जाने वाले सॉफ्टवेयर की खामी | रोक के दौरान इसे OSS VRP की नई उत्पाद रिपोर्ट के रूप में न भेजें। देखें कि साबित हुआ असर किसी अन्य कार्यक्रम के अपने नियमों के दायरे में आता है या नहीं। |
| ऐसी कमजोरी जो Google OSS के सोर्स की अखंडता या वितरित बिल्ड आर्टिफैक्ट को खतरे में डाल सकती है | OSS VRP के सप्लाई-चेन मानदंड जाँचें, फिर Google का [भेद्यता फॉर्म](https://bughunters.google.com/report) इस्तेमाल करें; उसमें OSS VRP चुनकर रिपॉज़िटरी URL दें। यह रास्ता खुला है। |
| 1 अक्टूबर से पहले दर्ज उत्पाद निष्कर्ष | मौजूदा रिपोर्ट पर आगे बढ़ें। Google कहता है कि रोक लंबित रिपोर्टों को प्रभावित नहीं करती। |
| Google Cloud द्वारा बनाए रखा रिपॉज़िटरी, जिसकी समस्या Google Cloud उत्पाद या सेवा को प्रभावित करे | प्रभावित उत्पाद का स्तर भी देखकर [Cloud VRP के नियम](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules)जाँचें। Google कहता है कि ऐसी कुछ रिपोर्टें वहाँ स्वीकार हो सकती हैं; केवल रिपॉज़िटरी का स्थान पर्याप्त नहीं है। |
| Google या Alphabet के AI उत्पाद में समस्या, जहाँ LLM या कोई अन्य जनरेटिव AI प्रणाली उस समस्या का अभिन्न हिस्सा हो | इन [AI VRP के नियम](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules)देखें। AI से किसी सामान्य कोड खामी का पता लगना अपने-आप उसे AI VRP के दायरे में नहीं लाता। |
| प्रस्तावित सुरक्षा सुधार या पैच | योग्य परियोजनाओं और बदलावों के लिए अलग [Patch Rewards Program के नियम](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) देखें। यह पैच कार्यक्रम है, रुकी हुई उसी भेद्यता रिपोर्ट का वैकल्पिक रास्ता नहीं। |

Google के [OSS नियम](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) में उत्पाद भेद्यताओं के पुराने स्वीकृति मानदंड अब भी हैं, जिनमें कुछ मेमोरी करप्शन मामलों के लिए OSS-Fuzz से पुनरुत्पादन या मर्ज किया गया पैच शामिल है। ये अनुच्छेद उस रिपोर्ट प्रकार की शर्तें बताते हैं, लेकिन अक्टूबर की नई कटऑफ के नीचे हैं। रोक लागू रहने तक ये OSS VRP में नई उत्पाद रिपोर्ट जमा करने का तरीका नहीं हैं।

## जारी OSS रिपोर्ट के लिए क्या चाहिए

सप्लाई-चेन निष्कर्ष के लिए Google के नियम शोधकर्ताओं से ऐसा शोषणयोग्य रास्ता दिखाने को कहते हैं जिससे Google OSS का सोर्स, बिल्ड आर्टिफैक्ट या वितरित पैकेज बदला जा सके। यदि कोई स्थिति केवल तब काम करे जब मेंटेनर बाहरी पुल रिक्वेस्ट को मंजूरी दे, तो उसे अंदरूनी जोखिम माना जाता है और सप्लाई-चेन भेद्यता इनाम के बजाय श्रेय मिल सकता है। Google संबंधित क्षेत्रों में रिपॉज़िटरी व बिल्ड कॉन्फ़िगरेशन, रिलीज़ इन्फ्रास्ट्रक्चर और प्रकाशन क्रेडेंशियल बताता है। यह दायरे का वर्णन है, किसी और के इन्फ्रास्ट्रक्चर की जाँच की अनुमति नहीं।

यह मार्गदर्शिका 5 अक्टूबर 2026 को जाँचे गए Google कार्यक्रम दस्तावेज़ों पर आधारित है। BIG CHANGE ने किसी भेद्यता का परीक्षण या रिपोर्ट जमा नहीं की। भेजने से पहले Google के [रिपोर्टिंग निर्देशों](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules)में माँगी गई चीज़ें जुटाएँ:

1. रिपॉज़िटरी URL, प्रभावित सॉफ्टवेयर संस्करण और हाल का बिल्ड या कॉन्फ़िगरेशन जिस पर निष्कर्ष लागू होता है।
2. खामी, उसे सक्रिय करने की शर्तें और सुरक्षा प्रभाव का संक्षिप्त विवरण। हमले का परिदृश्य समझाएँ; केवल कोड चेतावनी को शोषणयोग्य भेद्यता का प्रमाण न मानें।
3. पुनरुत्पादन के निर्देश और जहाँ व्यावहारिक हो, बिल्ड किया जा सकने वाला प्रूफ ऑफ कॉन्सेप्ट। उपलब्ध होने पर संबंधित आउटपुट या क्रैश डंप शामिल करें। देखे गए परिणाम और अनुमानित प्रभाव को अलग रखें।
4. उचित कार्यक्रम और रिपोर्ट स्थान। OSS सप्लाई-चेन रिपोर्ट के लिए भेद्यता फॉर्म के Bug Location चरण में OSS VRP चुनें और रिपॉज़िटरी URL दें। Cloud या AI के लिए उसी कार्यक्रम के दायरे और फॉर्म निर्देशों का पालन करें।

Google जहाँ संभव हो स्थानीय परीक्षण, अन्य उपयोगकर्ताओं को बाधित न करने और बहुत अधिक ट्रैफिक पैदा करने वाले स्वचालित परीक्षण न चलाने की सलाह देता है। [Cloud के नियम](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) ग्राहक के स्वामित्व वाले संसाधनों की जाँच पर रोक लगाते हैं। [AI के नियम](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) रिपोर्ट करने वाले से समस्या सत्यापित करने और दायरे में आने वाले खतरे को सरल भाषा में समझाने की माँग करते हैं। ये सीमाएँ रिपोर्ट की गुणवत्ता जितनी ही अहम हैं।

कार्यक्रम के पृष्ठ सार्वजनिक हैं और बताते हैं कि भेद्यता रिपोर्ट जमा करने का कोई शुल्क नहीं है। व्यावहारिक शर्तें हैं ठोस निष्कर्ष, पात्र लक्ष्य और चुने गए कार्यक्रम के नियमों के अनुरूप रिपोर्ट। इनाम कार्यक्रम के विवेक पर है और कार्यक्रम, परियोजना स्तर तथा प्रभाव के अनुसार बदलता है। मौजूदा OSS इनाम तालिका में नई उत्पाद भेद्यताओं के इनाम नहीं हैं; पात्र स्तरों की सप्लाई-चेन भेद्यताओं के इनाम दायरे अब भी सूचीबद्ध हैं। जमा करना या सुव्यवस्थित रिपोर्ट भुगतान की गारंटी नहीं देता।

## Google ने रिपोर्ट लेने का रास्ता क्यों बदला

मार्च की पोस्ट में Google ने कहा कि शोधकर्ता परिणामों को सत्यापित करें तो AI-सहायता प्राप्त शोध उपयोगी हो सकता है। कंपनी के अनुसार, कुछ रिपोर्टों ने ट्रिगर गढ़े या पहुँच योग्य और सार्थक सुरक्षा प्रभाव दिखाए बिना कोडिंग त्रुटि बताई। अप्रैल अपडेट ने निचले OT2 और OT3 परियोजनाओं में उत्पाद भेद्यताओं और अन्य सुरक्षा मुद्दों के इनाम या श्रेय हटा दिए। अक्टूबर की रोक सभी परियोजना स्तरों पर *नई* OSS VRP उत्पाद रिपोर्टों तक और आगे जाती है। [TechCrunch](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) ने भी रोक की खबर दी। Google के सार्वजनिक बयान नियम बदलाव और उसका बताया कारण स्थापित करते हैं, लेकिन सबमिशन की संख्या या अमान्य रिपोर्टों में AI के उपयोग का स्वतंत्र माप नहीं देते।

शोधकर्ता का तात्कालिक काम है निष्कर्ष को मौजूदा नियमों के अनुसार वर्गीकृत करना, वास्तविक सुरक्षा परिणाम दिखाना और केवल मौजूदा पात्र रास्ता इस्तेमाल करना। Google ने 2027 की पहली तिमाही में उत्पाद रिपोर्ट के रास्ते को अपडेट करने की बात कही है; तब तक नई OSS VRP उत्पाद रिपोर्टों पर अक्टूबर की कटऑफ लागू है।

## स्रोत और आगे पढ़ें

- [Google OSS VRP नियम](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules); मौजूदा नियम 5 अक्टूबर 2026 को जाँचे गए। इनमें 1 अक्टूबर की कटऑफ, जारी सप्लाई-चेन दायरा, रिपोर्टिंग शर्तें और इनाम सीमाएँ हैं।
- [Google का 19 मार्च 2026 का नियम अपडेट](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)और अप्रैल अपडेट। ये AI-संबंधी पहले के विशिष्ट अवलोकन और परियोजना स्तर में बदलाव दर्ज करते हैं।
- [Google VRP का 1 अक्टूबर 2026 का बयान](https://x.com/GoogleVRP/status/2105689195180179605) .हमारे शोध वातावरण में X की सीधी पोस्ट उपलब्ध नहीं थी; उसका पाठ और पोस्ट ID [तीसरे पक्ष की प्रति](https://twstalker.com/GoogleVRP/status/2105689195180179605) से मिले और दायरे की Google के मौजूदा नियमों से जाँच की गई।
- [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) , [AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) और [Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) के नियम; 5 अक्टूबर 2026 को जाँचे गए। हर कार्यक्रम की पात्रता और रिपोर्टिंग शर्तें अलग हैं।

## Sources

- [Google Bug Hunters: Google के OSS VRP को सुव्यवस्थित करना: नियमों के प्रमुख अपडेट](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) — Google ने AI-जनित रिपोर्टों में बढ़ोतरी बताई, सुरक्षा प्रभाव के मजबूत प्रमाण की ज़रूरत समझाई और अप्रैल में परियोजना स्तर के अनुसार इनाम बदले। अक्टूबर की रोक मौजूदा OSS VRP नियमों में दर्ज है।
- [Google Bug Hunters: OSS VRP नियम](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) — 5 अक्टूबर 2026 को जाँचे गए। Google के वर्तमान नियम 1 अक्टूबर से नई उत्पाद रिपोर्टों की रोक, जारी सप्लाई-चेन रास्ता, रिपोर्टिंग निर्देश और इनाम शर्तें बताते हैं।
- [Google VRP (@GoogleVRP) का 1 अक्टूबर 2026 का बयान](https://x.com/GoogleVRP/status/2105689195180179605) — 1 अक्टूबर के बयान में अमान्य स्वचालित सबमिशन बढ़ने की बात कही गई। हम X की सीधी पोस्ट प्राप्त नहीं कर सके; तीसरे पक्ष की प्रति में उसका पाठ और पोस्ट ID था। Google के प्रकाशित OSS नियम अलग से रोक का दायरा पुष्ट करते हैं।
- [Google Bug Hunters OSS VRP नियमों की सार्वजनिक GitHub प्रति](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) — Google की GitHub प्रति में दिनांकित उत्पाद रिपोर्ट रोक और जारी सप्लाई-चेन मानदंड सहित पूरे वर्तमान OSS VRP नियम हैं। 5 अक्टूबर 2026 को जाँचे गए।
- [Google Cloud VRP नियम](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) — Google Cloud द्वारा बनाए गए ओपन-सोर्स रिपॉज़िटरी की भेद्यता पात्र हो सकती है यदि वह Cloud उत्पाद या सेवा को प्रभावित करती है। पात्रता और इनाम स्तर Cloud कार्यक्रम के अपने नियमों पर निर्भर हैं। 5 अक्टूबर 2026 को जाँचे गए।
- [Google AI VRP नियम](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) — जब जनरेटिव AI प्रणाली के साथ बातचीत समस्या का अभिन्न हिस्सा हो, तब यह कार्यक्रम Google और Alphabet AI उत्पादों की निर्दिष्ट समस्याओं को कवर करता है। रिपोर्ट करने वाले को समस्या सत्यापित करनी होती है। 5 अक्टूबर 2026 को जाँचे गए।
- [Google Patch Rewards Program नियम](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) — यह अलग कार्यक्रम अपने परियोजना और सबमिशन नियमों के तहत पात्र ओपन-सोर्स परियोजनाओं के सुरक्षा सुधार और पैच देखता है। 5 अक्टूबर 2026 को जाँचे गए।
- [TechCrunch: AI सबमिशन में तेज़ बढ़ोतरी के बाद Google ने ओपन-सोर्स बग बाउंटी कार्यक्रम रोक दिया](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) — 4 अक्टूबर की रिपोर्ट घोषणा की पृष्ठभूमि देती है। यहाँ बताए गए सटीक रिपोर्टिंग रास्ते Google के प्रकाशित कार्यक्रम नियम तय करते हैं।
- [Tom's Hardware: अमान्य AI सबमिशन की बाढ़ के बीच Google ने ओपन-सोर्स बग बाउंटी कार्यक्रम रोक दिया](https://www.tomshardware.com/tech-industry/artificial-intelligence/google-suspends-part-of-the-oss-vrp-bug-bounty-program-due-to-an-influx-of-invalid-ai-submissions-product-vulnerability-submissions-ended-october-1) — 3 अक्टूबर की घोषणा पर रिपोर्ट। Google का अक्टूबर बयान स्वचालित सबमिशन की बात करता है; मार्च की कार्यक्रम पोस्ट AI-जनित रिपोर्टों पर अलग से चर्चा करती है।