1 ऑक्टोबर 2026 पासून Google आपल्या ओपन सोर्स सॉफ्टवेअर व्हल्नरेबिलिटी रिवॉर्ड प्रोग्राममध्ये (OSS VRP) उत्पादन-असुरक्षिततेची नवी प्रकरणे स्वीकारत नाही. कार्यक्रमाचे सध्याचे नियम अंतिम तारीख स्पष्ट करतात. पुरवठा-साखळी अहवाल अजूनही स्वीकारले जातात आणि 1 ऑक्टोबरपूर्वी दाखल केलेल्या उत्पादन-अहवालांवर या स्थगितीचा परिणाम होत नाही, असे Google सांगते. Google Cloud द्वारे देखभाल होणाऱ्या काही रिपॉझिटरींची असुरक्षितता Cloud उत्पादनावर परिणाम करत असल्यास, Cloud VRP कदाचित उत्पादन-अहवाल स्वीकारेल.
ही स्थगिती Google च्या 19 मार्चच्या नियमबदलानंतरआली. तेव्हा AI-निर्मित अहवाल वाढत असल्याचे Google ने म्हटले होते; त्यांत चुकीचे ट्रिगर किंवा नगण्य सुरक्षा-परिणाम होते. 1 ऑक्टोबरच्या निवेदनातGoogle ने स्वयंचलित सबमिशन वाढल्याचे सांगितले आणि त्यातील बहुसंख्य अवैध असल्याचे म्हटले. ऑक्टोबरच्या निवेदनाने प्रत्येक स्वयंचलित अहवालाला AI-निर्मित ठरवले नाही. पुन्हा सुरू होण्याची तारीख न देता Google ने 2027 च्या पहिल्या तिमाहीत अद्ययावत माहिती देण्याचे आश्वासन दिले.
मोठा बदल
पूर्वी OSS VRP प्रकल्पाचा स्तर आणि पुराव्याच्या अटींनुसार पात्र Google ओपन-सोर्स प्रकल्पांतील उत्पादन-असुरक्षिततेचे अहवाल स्वीकारत असे. 1 ऑक्टोबरपासून नव्या उत्पादन-अहवालांचा मार्ग स्थगित आहे. पुरवठा-साखळीचा मार्ग सोर्स कोड किंवा वितरित बिल्ड धोक्यात आणू शकणारे निष्कर्ष अजून स्वीकारतो; आधी दाखल केलेले उत्पादन-अहवाल प्रक्रियेत राहतात. फॉर्म निवडण्यापूर्वी संशोधकांनी निष्कर्षाचा प्रकार आणि उत्पादनावरील परिणाम निश्चित करावा. दुसरा कार्यक्रम उपलब्ध आहे का हे Google चे नियम ठरवतात; रिपॉझिटरी Google च्या मालकीची आहे एवढेच पुरेसे नाही.
अहवाल देण्यापूर्वी योग्य मार्ग ठरवा
प्रथम OSS VRP चे नियम आणि प्रभावित रिपॉझिटरीची ओळख व सध्याची आवृत्ती तपासा. Google नुसार, कार्यक्रमात Google-मालकीच्या GitHub संस्थांच्या सार्वजनिक रिपॉझिटरींतील सॉफ्टवेअरच्या नवीनतम आवृत्त्या तसेच इतर प्लॅटफॉर्मवरील काही निवडक रिपॉझिटरी येतात. या व्याप्तीत येणारी प्रत्येक समस्या पुरस्कारासाठी पात्र असेलच असे नाही.
निष्कर्ष | Google च्या नियमानुसार सध्याचा मार्ग |
|---|---|
Google OSS मधील उत्पादनाची नवी असुरक्षितता; उदाहरणार्थ, पुढील उत्पादन वापरत असलेल्या सॉफ्टवेअरमधील दोष | स्थगितीच्या काळात ती OSS VRP उत्पादनाची नवी तक्रार म्हणून पाठवू नका. सिद्ध झालेला परिणाम दुसऱ्या कार्यक्रमाच्या स्वतंत्र नियमांत बसतो का ते तपासा. |
Google OSS च्या सोर्सची अखंडता किंवा वितरित बिल्ड आर्टिफॅक्ट धोक्यात आणू शकणारी कमजोरी | OSS VRP चे पुरवठा-साखळी निकष तपासून Google चा असुरक्षितता फॉर्म वापरा; त्यात OSS VRP निवडून रिपॉझिटरीचा URL द्या. हा मार्ग खुला आहे. |
1 ऑक्टोबरपूर्वी दाखल केलेला उत्पादन-असुरक्षिततेचा निष्कर्ष | विद्यमान अहवालावर पुढे काम करा. स्थगितीचा प्रलंबित अहवालांवर परिणाम होत नाही, असे Google सांगते. |
Google Cloud द्वारे देखभाल होणारी रिपॉझिटरी, जिचा प्रश्न Google Cloud उत्पादन किंवा सेवेवर परिणाम करतो | प्रभावित उत्पादनाचा स्तरही तपासून Cloud VRP चे नियमपाहा. अशा काही तक्रारी तेथे स्वीकारल्या जाऊ शकतात, असे Google सांगते; रिपॉझिटरीचे स्थान एवढेच पुरेसे नाही. |
Google किंवा Alphabet च्या AI उत्पादनातील असा प्रश्न, ज्यात LLM किंवा अन्य जनरेटिव्ह AI प्रणाली समस्येचा अविभाज्य भाग आहे | संबंधित AI VRP चे नियमपाहा. AI वापरून पारंपरिक कोडमधील दोष शोधला म्हणून तो आपोआप AI VRP मध्ये येत नाही. |
सुचवलेली सुरक्षा-सुधारणा किंवा पॅच | पात्र प्रकल्प आणि बदलांसाठी स्वतंत्र Patch Rewards Program चे नियम पाहा. हा पॅच कार्यक्रम आहे; स्थगित असलेल्या त्याच असुरक्षितता-अहवालासाठी पर्यायी मार्ग नाही. |
Google च्या OSS नियमांत उत्पादन-असुरक्षितता स्वीकारण्याचे जुने निकषही आहेत; काही मेमरी-करप्शन समस्यांसाठी OSS-Fuzz द्वारे पुनरुत्पादन किंवा विलीन केलेला पॅच त्यात समाविष्ट आहे. हे परिच्छेद त्या प्रकारच्या अहवालाची अट सांगतात, पण ऑक्टोबरच्या नव्या कटऑफनंतर येतात. स्थगिती लागू असताना हे नवा OSS VRP उत्पादन-अहवाल देण्याचे साधन नाही.
सुरू असलेल्या OSS अहवालासाठी काय लागते
पुरवठा-साखळीतील निष्कर्षासाठी Google चे नियम, Google OSS सोर्स कोड, बिल्ड आर्टिफॅक्ट किंवा वितरित पॅकेज बदलण्याचा शोषणयोग्य मार्ग दाखवण्यास सांगतात. बाहेरील पुल रिक्वेस्टला मेंटेनरने मंजुरी दिल्यानंतरच एखादी परिस्थिती शक्य होत असेल, तर ती अंतर्गत व्यक्तीचा धोका मानली जाते; पुरवठा-साखळी असुरक्षिततेच्या पुरस्काराऐवजी श्रेय मिळू शकते. रिपॉझिटरी व बिल्ड कॉन्फिगरेशन, प्रकाशन पायाभूत सुविधा आणि वितरण क्रेडेन्शियल ही Google ने नमूद केलेली संबंधित क्षेत्रे आहेत. हा व्याप्तीचा खुलासा आहे, दुसऱ्याची पायाभूत सुविधा तपासण्याची परवानगी नाही.
हे मार्गदर्शन 5 ऑक्टोबर 2026 रोजी तपासलेल्या Google कार्यक्रम-दस्तऐवजांवर आधारित आहे. BIG CHANGE ने असुरक्षिततेची चाचणी किंवा अहवाल दाखल केलेला नाही. पाठवण्यापूर्वी Google च्या अहवाल मार्गदर्शनातमागितलेल्या गोष्टी तयार करा:
- रिपॉझिटरीचा URL, प्रभावित सॉफ्टवेअर आवृत्ती आणि निष्कर्ष लागू होणारा अलीकडील बिल्ड किंवा कॉन्फिगरेशन.
- दोष, तो घडवण्यासाठी आवश्यक अटी आणि सुरक्षा-परिणाम यांचे संक्षिप्त वर्णन. कोडमधील सूचना एवढ्यावरून शोषणयोग्य असुरक्षितता सिद्ध झाली असे न मानता हल्ल्याची परिस्थिती स्पष्ट करा.
- पुनरुत्पादनाची पावले आणि शक्य असल्यास बिल्ड करता येईल असा प्रूफ ऑफ कॉन्सेप्ट. संबंधित आउटपुट किंवा क्रॅश डंप उपलब्ध असल्यास जोडा. प्रत्यक्ष निरीक्षण आणि अनुमानित परिणाम वेगळे मांडा.
- योग्य कार्यक्रम आणि अहवालाची जागा. OSS पुरवठा-साखळी अहवालासाठी असुरक्षितता फॉर्मच्या Bug Location टप्प्यात OSS VRP निवडा आणि रिपॉझिटरी URL द्या. Cloud किंवा AI साठी त्या कार्यक्रमाचे व्याप्ती व फॉर्म-संबंधित निर्देश पाळा.
शक्य असल्यास स्थानिक पातळीवर चाचणी करा, इतर वापरकर्त्यांना अडथळा आणू नका आणि मोठ्या प्रमाणात ट्रॅफिक निर्माण करणाऱ्या स्वयंचलित चाचण्या टाळा, असे Google सुचवते. त्याचे Cloud नियम ग्राहक-मालकीच्या स्रोतांची चाचणी करण्यास मनाई करतात. AI नियम अहवाल देणाऱ्याने समस्या पडताळून व्याप्तीत येणारा धोका सोप्या भाषेत स्पष्ट करावा अशी मागणी करतात. या मर्यादा अहवालाच्या दर्जाइतक्याच महत्त्वाच्या आहेत.
कार्यक्रमाची पाने सार्वजनिक आहेत आणि असुरक्षिततेचा अहवाल दाखल करण्यासाठी शुल्क नसल्याचे सांगतात. प्रत्यक्ष गरज म्हणजे ठोस निष्कर्ष, पात्र लक्ष्य आणि निवडलेल्या कार्यक्रमाचे नियम पाळणारा अहवाल. पुरस्कार कार्यक्रमाच्या निर्णयाधीन असून कार्यक्रम, प्रकल्पाचा स्तर आणि परिणामानुसार बदलतो. सध्याच्या OSS पुरस्कार-तक्त्यात उत्पादनाच्या नव्या असुरक्षिततेसाठी पुरस्कार नाहीत; पात्र स्तरांतील पुरवठा-साखळी असुरक्षिततेसाठी पुरस्कार-श्रेणी अजून दिल्या आहेत. अहवाल दाखल करणे किंवा तो नीट लिहिणे यामुळे पैसे मिळण्याची हमी नसते.
Google ने अहवाल स्वीकारण्याची पद्धत का बदलली
मार्चच्या पोस्टमध्ये Google ने सांगितले की संशोधकांनी AI चे निष्कर्ष पडताळल्यास AI-सहाय्यित संशोधन उपयुक्त ठरू शकते. काही अहवालांनी ट्रिगर बनवला किंवा कोडमधील त्रुटी दाखवली, पण पोहोचण्याजोगा व अर्थपूर्ण सुरक्षा-परिणाम दाखवला नाही, असे कंपनीने म्हटले. एप्रिलच्या अद्ययावतात खालच्या OT2 आणि OT3 स्तरांतील प्रकल्पांच्या उत्पादन-असुरक्षितता आणि इतर सुरक्षा समस्यांसाठी पुरस्कार किंवा श्रेय काढले. ऑक्टोबरची स्थगिती सर्व प्रकल्प-स्तरांवरील नव्या OSS VRP उत्पादन-अहवालांनाही लागू होते. TechCrunch नेही स्थगितीबद्दल बातमी दिली. Google ची सार्वजनिक विधाने नियमबदल आणि त्याने दिलेले कारण स्पष्ट करतात; मात्र सबमिशनची संख्या किंवा अवैध अहवालांपैकी किती AI वापरून बनले याचे स्वतंत्र मोजमाप देत नाहीत.
संशोधकाने तातडीने निष्कर्षाचे सध्याच्या नियमांनुसार वर्गीकरण करावे, प्रत्यक्ष सुरक्षा-परिणाम दाखवावा आणि सध्या पात्र असलेलाच मार्ग वापरावा. Google 2027 च्या पहिल्या तिमाहीत उत्पादन-अहवालाचा मार्ग अद्ययावत करेल; तोपर्यंत OSS VRP उत्पादनाच्या नव्या सबमिशनसाठी ऑक्टोबरचा कटऑफ लागू राहतो.
स्रोत आणि पुढील वाचन
- Google OSS VRP चे नियम; सध्याचे नियम 5 ऑक्टोबर 2026 रोजी तपासले. यात 1 ऑक्टोबरचा कटऑफ, सुरू राहणारी पुरवठा-साखळी व्याप्ती, अहवालाच्या अटी आणि पुरस्कारांच्या मर्यादा आहेत.
- Google चे 19 मार्च 2026 चे नियम-अद्ययावतआणि एप्रिलचे अद्ययावत. यात AI-संबंधित आधीची विशिष्ट निरीक्षणे आणि प्रकल्प-स्तरांतील बदल नोंदवले आहेत.
- Google VRP चे 1 ऑक्टोबर 2026 चे निवेदन .आमच्या संशोधन वातावरणात X वरील मूळ पोस्ट मिळाली नाही; मजकूर आणि पोस्ट ID तृतीय-पक्षाच्या प्रतीत सापडले आणि व्याप्ती Google च्या सध्याच्या नियमांशी पडताळली.
- Cloud VRP , AI VRP आणि Patch Rewards चे नियम; 5 ऑक्टोबर 2026 रोजी तपासले. प्रत्येक कार्यक्रमाच्या पात्रता आणि अहवाल-अटी स्वतंत्र आहेत.
