Edisi Markdown

AI-translated from English; not yet reviewed by a fluent editor.

# Google menghentikan laporan baru kerentanan produk sumber terbuka: ke mana peneliti masih dapat melapor

> Pada 1 Oktober, Google menghentikan pengajuan baru kerentanan produk ke OSS VRP. Laporan rantai pasok dan kasus yang sudah ada tetap berjalan; temuan tertentu mungkin mengikuti aturan tersendiri dari Cloud, AI, atau Patch Rewards.

By BIG CHANGE Editorial

Published: 2026-10-05T04:59:25.735Z
Updated: 2026-10-05T04:59:25.735Z
Canonical: https://bigchange.ai/blog/google-oss-vrp-product-report-pause-routing-guide

![Conceptual charcoal illustration of two wall-mounted report slots: one shutter is closed, while a plain sheet rests in the other open slot.](https://bigchange.ai/api/media/file/google-oss-vrp-report-routing-hero-v2.png)
AI-generated conceptual editorial illustration by BIG CHANGE.

Sejak 1 Oktober 2026, Google tidak lagi menerima laporan baru kerentanan produk melalui Program Imbalan Kerentanan Perangkat Lunak Sumber Terbuka (OSS VRP). [Aturan program saat ini](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) menetapkan tanggal penghentian. Laporan rantai pasok tetap diterima, dan Google menyatakan bahwa penghentian ini tidak memengaruhi laporan produk yang dikirim sebelum 1 Oktober. Untuk beberapa repositori yang dikelola Google Cloud, jika kerentanannya berdampak pada produk Cloud, [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) mungkin masih menerima laporan produk.

Penghentian ini menyusul [pembaruan aturan 19 Maret](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)dari Google. Saat itu, Google mengatakan laporan buatan AI meningkat dan sebagian memuat pemicu yang keliru atau dampak keamanan yang nyaris tidak berarti. Dalam [pernyataan 1 Oktober](https://x.com/GoogleVRP/status/2105689195180179605)Google menyebut peningkatan pengajuan *otomatis* dan mengatakan sebagian besar tidak valid. Pernyataan Oktober tidak menyebut setiap laporan otomatis sebagai buatan AI. Google menjanjikan pembaruan pada kuartal pertama 2027 tanpa menetapkan tanggal pembukaan kembali.

## Perubahan utama

Sebelumnya, OSS VRP menerima laporan kerentanan produk yang memenuhi syarat di proyek sumber terbuka Google yang tercakup, sesuai tingkat proyek dan persyaratan bukti. Sejak 1 Oktober, jalur untuk laporan produk baru dihentikan. Jalur rantai pasok tetap menerima temuan yang dapat membahayakan kode sumber atau build yang didistribusikan; laporan produk yang sudah masuk tetap diproses. Peneliti kini perlu menentukan jenis temuan dan dampaknya pada produk sebelum memilih formulir. Aturan Google, bukan sekadar kepemilikan Google atas repositori, menentukan apakah program lain tersedia.

## Tentukan jalurnya sebelum melapor

Mulailah dengan [aturan OSS VRP](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) dan periksa identitas repositori terdampak beserta versi terkininya. Google menyatakan program ini mencakup versi terbaru perangkat lunak di repositori publik organisasi GitHub milik Google serta repositori tertentu di platform lain. Cakupan itu tidak otomatis membuat setiap masalah layak mendapat imbalan.

| Temuan | Jalur yang tersedia menurut aturan Google |
| --- | --- |
| Kerentanan produk baru di Google OSS, misalnya cacat pada perangkat lunak yang digunakan produk turunan | Jangan kirim sebagai laporan produk OSS VRP baru selama penghentian. Periksa apakah dampak yang terbukti memenuhi aturan program lain. |
| Kelemahan yang dapat membahayakan integritas sumber Google OSS atau artefak build yang didistribusikan | Periksa kriteria rantai pasok OSS VRP, lalu gunakan [formulir kerentanan](https://bughunters.google.com/report) Google dengan memilih OSS VRP dan mencantumkan URL repositori. Jalur ini tetap terbuka. |
| Temuan produk yang dilaporkan sebelum 1 Oktober | Lanjutkan laporan yang sudah ada. Google menyatakan penghentian ini tidak memengaruhi laporan yang masih diproses. |
| Masalah di repositori yang dikelola Google Cloud dan berdampak pada produk atau layanan Google Cloud | Periksa [aturan Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules), termasuk tingkat produk yang terdampak. Google menyatakan sebagian laporan seperti ini mungkin diterima di sana; lokasi repositori saja tidak cukup. |
| Masalah pada produk AI Google atau Alphabet yang menjadikan LLM atau sistem AI generatif lain bagian integral dari masalah | Periksa [aturan AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) .Penggunaan AI untuk menemukan cacat kode konvensional saja tidak otomatis membuat cacat tersebut memenuhi syarat AI VRP. |
| Usulan peningkatan keamanan atau patch | Periksa aturan tersendiri [Program Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) untuk proyek dan perubahan yang memenuhi syarat. Ini program patch, bukan jalur alternatif untuk laporan kerentanan yang sama dan sedang dihentikan. |

Aturan [OSS](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) Google masih memuat kriteria penerimaan lama untuk kerentanan produk, termasuk reproduksi lewat OSS-Fuzz atau patch yang sudah digabung untuk beberapa masalah korupsi memori. Bagian itu menjelaskan syarat bagi jenis laporan tersebut, tetapi berada di bawah batas waktu baru pada Oktober. Bagian itu tidak menjadi cara mengirim laporan produk baru ke OSS VRP selama penghentian.

## Isi yang diperlukan untuk laporan OSS yang masih diterima

Untuk temuan rantai pasok, aturan Google meminta bukti jalur yang dapat dieksploitasi untuk mengubah kode sumber Google OSS, artefak build, atau paket distribusi. Skenario yang hanya berfungsi setelah maintainer menyetujui permintaan perubahan eksternal diperlakukan sebagai risiko orang dalam dan dapat memperoleh kredit, bukan imbalan kerentanan rantai pasok. Google menyebut konfigurasi repositori dan build, infrastruktur rilis, serta kredensial penerbitan sebagai permukaan terkait. Ini penjelasan cakupan, bukan izin untuk menguji infrastruktur milik pihak lain.

Panduan ini didasarkan pada dokumentasi program Google yang diperiksa pada 5 Oktober 2026. BIG CHANGE tidak menguji kerentanan atau mengirim laporan. Sebelum mengirim, siapkan hal-hal yang diminta Google dalam [petunjuk pelaporan](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) :

1. URL repositori, versi perangkat lunak terdampak, serta build atau konfigurasi terbaru yang terkait dengan temuan.
2. Uraian singkat tentang cacat, kondisi pemicunya, dan dampak keamanan. Jelaskan skenario serangan tanpa menganggap peringatan kode saja membuktikan kerentanan yang dapat dieksploitasi.
3. Petunjuk reproduksi dan, jika memungkinkan, bukti konsep yang dapat dibangun. Sertakan keluaran relevan atau dump kerusakan jika tersedia. Pisahkan hasil yang diamati dari dampak yang disimpulkan.
4. Program dan lokasi pelaporan yang tepat. Untuk laporan rantai pasok OSS, pilih OSS VRP pada langkah Bug Location di formulir kerentanan dan cantumkan URL repositori. Untuk Cloud atau AI, ikuti cakupan dan petunjuk formulir masing-masing program.

Google menyarankan pengujian lokal jika memungkinkan, menghindari gangguan bagi pengguna lain, dan tidak menjalankan pengujian otomatis yang menghasilkan lalu lintas besar. [Aturan Cloud](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) melarang pengujian terhadap sumber daya milik pelanggan. [Aturan AI](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) mewajibkan pelapor memverifikasi masalah dan menjelaskan ancaman yang tercakup dengan bahasa sederhana. Batasan ini sama pentingnya dengan mutu laporan.

Halaman program tersedia untuk umum dan menyatakan bahwa pengiriman laporan kerentanan tidak dikenai biaya. Syarat praktisnya adalah temuan konkret, target yang memenuhi syarat, dan laporan yang mengikuti aturan program pilihan. Imbalan bersifat diskresioner dan bervariasi menurut program, tingkat proyek, serta dampak. Tabel imbalan OSS saat ini tidak mencantumkan imbalan untuk kerentanan produk baru; rentang imbalan untuk kerentanan rantai pasok pada tingkat yang memenuhi syarat tetap tercantum. Pengiriman maupun laporan yang tersusun baik tidak menjamin pembayaran.

## Mengapa Google mengubah jalur penerimaan laporan

Dalam unggahan Maret, Google mengatakan riset berbantuan AI dapat bermanfaat jika peneliti memverifikasi hasilnya. Google menyebut sejumlah laporan mengarang pemicu atau menunjukkan kesalahan pemrograman tanpa membuktikan dampak keamanan yang dapat dijangkau dan berarti. Pembaruan April menghapus imbalan atau kredit untuk kerentanan produk dan masalah keamanan lain di proyek tingkat lebih rendah OT2 dan OT3. Penghentian Oktober melangkah lebih jauh untuk *laporan* produk OSS VRP baru di semua tingkat proyek. [TechCrunch](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) juga memberitakan penghentian tersebut. Pernyataan publik Google menjelaskan perubahan aturan dan alasan yang disampaikan, tetapi tidak memberikan jumlah pengajuan atau pengukuran independen tentang berapa banyak laporan tidak valid yang menggunakan AI.

Tugas langsung peneliti adalah mengklasifikasikan temuan menurut aturan yang berlaku, membuktikan konsekuensi keamanan nyata, lalu memakai hanya jalur yang saat ini memenuhi syarat. Google mengatakan jalur laporan produk akan diperbarui pada kuartal pertama 2027; sampai saat itu, batas Oktober berlaku untuk laporan produk OSS VRP baru.

## Sumber dan bacaan lanjutan

- [Aturan Google OSS VRP](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules); aturan terkini diperiksa pada 5 Oktober 2026. Isinya mencakup batas 1 Oktober, cakupan rantai pasok yang tetap berjalan, persyaratan pelaporan, dan batas imbalan.
- [Pembaruan aturan Google pada 19 Maret 2026](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)dan pembaruan April. Keduanya mendokumentasikan pengamatan terdahulu Google yang khusus terkait AI serta perubahan tingkat proyek.
- [Pernyataan Google VRP pada 1 Oktober 2026](https://x.com/GoogleVRP/status/2105689195180179605) .Unggahan langsung di X tidak dapat diambil dari lingkungan riset kami; teks dan ID unggahan ditemukan melalui [salinan pihak ketiga](https://twstalker.com/GoogleVRP/status/2105689195180179605) lalu cakupannya dicocokkan dengan aturan Google yang berlaku.
- [Aturan Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) , [AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) dan [Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) ; diperiksa pada 5 Oktober 2026. Setiap program memiliki ketentuan kelayakan dan pelaporan tersendiri.

## Sources

- [Google Bug Hunters: Penyederhanaan OSS VRP Google: Pembaruan aturan utama](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) — Google menjelaskan peningkatan laporan buatan AI, alasan perlunya bukti dampak keamanan yang lebih kuat, lalu mengubah imbalan menurut tingkat proyek pada April. Penghentian Oktober tercantum dalam aturan OSS VRP saat ini.
- [Google Bug Hunters: Aturan OSS VRP](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) — Diperiksa pada 5 Oktober 2026. Aturan Google saat ini menetapkan penghentian laporan produk baru pada 1 Oktober, jalur rantai pasok yang tetap berjalan, petunjuk pelaporan, dan ketentuan imbalan.
- [Pernyataan Google VRP (@GoogleVRP) pada 1 Oktober 2026](https://x.com/GoogleVRP/status/2105689195180179605) — Pernyataan 1 Oktober menyebut peningkatan pengajuan otomatis yang tidak valid. Unggahan X langsung tidak berhasil diperoleh; salinan pihak ketiga menampilkan teks dan ID-nya. Aturan OSS yang diterbitkan Google secara terpisah mengonfirmasi cakupan penghentian.
- [Salinan publik aturan OSS VRP Google Bug Hunters di GitHub](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) — Salinan GitHub milik Google memuat aturan OSS VRP terkini secara lengkap, termasuk penghentian laporan produk bertanggal dan kriteria rantai pasok yang tetap berlaku. Diperiksa pada 5 Oktober 2026.
- [Aturan Google Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) — Kerentanan di repositori sumber terbuka yang dikelola Google Cloud mungkin memenuhi syarat jika berdampak pada produk atau layanan Cloud. Kelayakan dan tingkat imbalan mengikuti aturan program Cloud sendiri. Diperiksa pada 5 Oktober 2026.
- [Aturan Google AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) — Program ini mencakup masalah tertentu pada produk AI Google dan Alphabet jika interaksi dengan sistem AI generatif merupakan bagian integral masalah. Pelapor harus memverifikasi temuan. Diperiksa pada 5 Oktober 2026.
- [Aturan Google Patch Rewards Program](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) — Program terpisah ini menilai peningkatan keamanan dan patch yang memenuhi syarat untuk proyek sumber terbuka yang tercakup, sesuai aturan proyek dan pengajuannya sendiri. Diperiksa pada 5 Oktober 2026.
- [TechCrunch: Google membekukan program bug bounty sumber terbuka setelah lonjakan besar pengajuan AI](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) — Laporan 4 Oktober memberi konteks pada pengumuman. Aturan program yang diterbitkan Google menetapkan jalur pelaporan persis yang dijelaskan di sini.
- [Tom's Hardware: Google membekukan bug bounty sumber terbuka di tengah gelombang pengajuan AI tidak valid](https://www.tomshardware.com/tech-industry/artificial-intelligence/google-suspends-part-of-the-oss-vrp-bug-bounty-program-due-to-an-influx-of-invalid-ai-submissions-product-vulnerability-submissions-ended-october-1) — Liputan pengumuman pada 3 Oktober. Pernyataan Google pada Oktober membahas pengajuan otomatis; unggahan program pada Maret membahas laporan buatan AI secara terpisah.