Markdown आवृत्ती

AI-translated from English; not yet reviewed by a fluent editor.

# Google ने ओपन-सोर्स उत्पादनांतील नवीन असुरक्षिततेच्या अहवालांना स्थगिती दिली: संशोधक अजून कुठे कळवू शकतात

> Google ने 1 ऑक्टोबरला OSS VRP मधील उत्पादन-असुरक्षिततेच्या नव्या सबमिशनना स्थगित केले. पुरवठा-साखळी अहवाल आणि आधीची प्रकरणे सुरू राहतील; काही निष्कर्षांवर Cloud, AI किंवा Patch Rewards चे स्वतंत्र नियम लागू होऊ शकतात.

By BIG CHANGE Editorial

Published: 2026-10-05T04:59:25.735Z
Updated: 2026-10-05T04:59:25.735Z
Canonical: https://bigchange.ai/blog/google-oss-vrp-product-report-pause-routing-guide

![Conceptual charcoal illustration of two wall-mounted report slots: one shutter is closed, while a plain sheet rests in the other open slot.](https://bigchange.ai/api/media/file/google-oss-vrp-report-routing-hero-v2.png)
AI-generated conceptual editorial illustration by BIG CHANGE.

1 ऑक्टोबर 2026 पासून Google आपल्या ओपन सोर्स सॉफ्टवेअर व्हल्नरेबिलिटी रिवॉर्ड प्रोग्राममध्ये (OSS VRP) उत्पादन-असुरक्षिततेची नवी प्रकरणे स्वीकारत नाही. [कार्यक्रमाचे सध्याचे नियम](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) अंतिम तारीख स्पष्ट करतात. पुरवठा-साखळी अहवाल अजूनही स्वीकारले जातात आणि 1 ऑक्टोबरपूर्वी दाखल केलेल्या उत्पादन-अहवालांवर या स्थगितीचा परिणाम होत नाही, असे Google सांगते. Google Cloud द्वारे देखभाल होणाऱ्या काही रिपॉझिटरींची असुरक्षितता Cloud उत्पादनावर परिणाम करत असल्यास, [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) कदाचित उत्पादन-अहवाल स्वीकारेल.

ही स्थगिती Google च्या [19 मार्चच्या नियमबदलानंतर](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)आली. तेव्हा AI-निर्मित अहवाल वाढत असल्याचे Google ने म्हटले होते; त्यांत चुकीचे ट्रिगर किंवा नगण्य सुरक्षा-परिणाम होते. [1 ऑक्टोबरच्या निवेदनात](https://x.com/GoogleVRP/status/2105689195180179605)Google ने *स्वयंचलित* सबमिशन वाढल्याचे सांगितले आणि त्यातील बहुसंख्य अवैध असल्याचे म्हटले. ऑक्टोबरच्या निवेदनाने प्रत्येक स्वयंचलित अहवालाला AI-निर्मित ठरवले नाही. पुन्हा सुरू होण्याची तारीख न देता Google ने 2027 च्या पहिल्या तिमाहीत अद्ययावत माहिती देण्याचे आश्वासन दिले.

## मोठा बदल

पूर्वी OSS VRP प्रकल्पाचा स्तर आणि पुराव्याच्या अटींनुसार पात्र Google ओपन-सोर्स प्रकल्पांतील उत्पादन-असुरक्षिततेचे अहवाल स्वीकारत असे. 1 ऑक्टोबरपासून नव्या उत्पादन-अहवालांचा मार्ग स्थगित आहे. पुरवठा-साखळीचा मार्ग सोर्स कोड किंवा वितरित बिल्ड धोक्यात आणू शकणारे निष्कर्ष अजून स्वीकारतो; आधी दाखल केलेले उत्पादन-अहवाल प्रक्रियेत राहतात. फॉर्म निवडण्यापूर्वी संशोधकांनी निष्कर्षाचा प्रकार आणि उत्पादनावरील परिणाम निश्चित करावा. दुसरा कार्यक्रम उपलब्ध आहे का हे Google चे नियम ठरवतात; रिपॉझिटरी Google च्या मालकीची आहे एवढेच पुरेसे नाही.

## अहवाल देण्यापूर्वी योग्य मार्ग ठरवा

प्रथम [OSS VRP चे नियम](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) आणि प्रभावित रिपॉझिटरीची ओळख व सध्याची आवृत्ती तपासा. Google नुसार, कार्यक्रमात Google-मालकीच्या GitHub संस्थांच्या सार्वजनिक रिपॉझिटरींतील सॉफ्टवेअरच्या नवीनतम आवृत्त्या तसेच इतर प्लॅटफॉर्मवरील काही निवडक रिपॉझिटरी येतात. या व्याप्तीत येणारी प्रत्येक समस्या पुरस्कारासाठी पात्र असेलच असे नाही.

| निष्कर्ष | Google च्या नियमानुसार सध्याचा मार्ग |
| --- | --- |
| Google OSS मधील उत्पादनाची नवी असुरक्षितता; उदाहरणार्थ, पुढील उत्पादन वापरत असलेल्या सॉफ्टवेअरमधील दोष | स्थगितीच्या काळात ती OSS VRP उत्पादनाची नवी तक्रार म्हणून पाठवू नका. सिद्ध झालेला परिणाम दुसऱ्या कार्यक्रमाच्या स्वतंत्र नियमांत बसतो का ते तपासा. |
| Google OSS च्या सोर्सची अखंडता किंवा वितरित बिल्ड आर्टिफॅक्ट धोक्यात आणू शकणारी कमजोरी | OSS VRP चे पुरवठा-साखळी निकष तपासून Google चा [असुरक्षितता फॉर्म](https://bughunters.google.com/report) वापरा; त्यात OSS VRP निवडून रिपॉझिटरीचा URL द्या. हा मार्ग खुला आहे. |
| 1 ऑक्टोबरपूर्वी दाखल केलेला उत्पादन-असुरक्षिततेचा निष्कर्ष | विद्यमान अहवालावर पुढे काम करा. स्थगितीचा प्रलंबित अहवालांवर परिणाम होत नाही, असे Google सांगते. |
| Google Cloud द्वारे देखभाल होणारी रिपॉझिटरी, जिचा प्रश्न Google Cloud उत्पादन किंवा सेवेवर परिणाम करतो | प्रभावित उत्पादनाचा स्तरही तपासून [Cloud VRP चे नियम](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules)पाहा. अशा काही तक्रारी तेथे स्वीकारल्या जाऊ शकतात, असे Google सांगते; रिपॉझिटरीचे स्थान एवढेच पुरेसे नाही. |
| Google किंवा Alphabet च्या AI उत्पादनातील असा प्रश्न, ज्यात LLM किंवा अन्य जनरेटिव्ह AI प्रणाली समस्येचा अविभाज्य भाग आहे | संबंधित [AI VRP चे नियम](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules)पाहा. AI वापरून पारंपरिक कोडमधील दोष शोधला म्हणून तो आपोआप AI VRP मध्ये येत नाही. |
| सुचवलेली सुरक्षा-सुधारणा किंवा पॅच | पात्र प्रकल्प आणि बदलांसाठी स्वतंत्र [Patch Rewards Program चे नियम](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) पाहा. हा पॅच कार्यक्रम आहे; स्थगित असलेल्या त्याच असुरक्षितता-अहवालासाठी पर्यायी मार्ग नाही. |

Google च्या [OSS नियमांत](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) उत्पादन-असुरक्षितता स्वीकारण्याचे जुने निकषही आहेत; काही मेमरी-करप्शन समस्यांसाठी OSS-Fuzz द्वारे पुनरुत्पादन किंवा विलीन केलेला पॅच त्यात समाविष्ट आहे. हे परिच्छेद त्या प्रकारच्या अहवालाची अट सांगतात, पण ऑक्टोबरच्या नव्या कटऑफनंतर येतात. स्थगिती लागू असताना हे नवा OSS VRP उत्पादन-अहवाल देण्याचे साधन नाही.

## सुरू असलेल्या OSS अहवालासाठी काय लागते

पुरवठा-साखळीतील निष्कर्षासाठी Google चे नियम, Google OSS सोर्स कोड, बिल्ड आर्टिफॅक्ट किंवा वितरित पॅकेज बदलण्याचा शोषणयोग्य मार्ग दाखवण्यास सांगतात. बाहेरील पुल रिक्वेस्टला मेंटेनरने मंजुरी दिल्यानंतरच एखादी परिस्थिती शक्य होत असेल, तर ती अंतर्गत व्यक्तीचा धोका मानली जाते; पुरवठा-साखळी असुरक्षिततेच्या पुरस्काराऐवजी श्रेय मिळू शकते. रिपॉझिटरी व बिल्ड कॉन्फिगरेशन, प्रकाशन पायाभूत सुविधा आणि वितरण क्रेडेन्शियल ही Google ने नमूद केलेली संबंधित क्षेत्रे आहेत. हा व्याप्तीचा खुलासा आहे, दुसऱ्याची पायाभूत सुविधा तपासण्याची परवानगी नाही.

हे मार्गदर्शन 5 ऑक्टोबर 2026 रोजी तपासलेल्या Google कार्यक्रम-दस्तऐवजांवर आधारित आहे. BIG CHANGE ने असुरक्षिततेची चाचणी किंवा अहवाल दाखल केलेला नाही. पाठवण्यापूर्वी Google च्या [अहवाल मार्गदर्शनात](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules)मागितलेल्या गोष्टी तयार करा:

1. रिपॉझिटरीचा URL, प्रभावित सॉफ्टवेअर आवृत्ती आणि निष्कर्ष लागू होणारा अलीकडील बिल्ड किंवा कॉन्फिगरेशन.
2. दोष, तो घडवण्यासाठी आवश्यक अटी आणि सुरक्षा-परिणाम यांचे संक्षिप्त वर्णन. कोडमधील सूचना एवढ्यावरून शोषणयोग्य असुरक्षितता सिद्ध झाली असे न मानता हल्ल्याची परिस्थिती स्पष्ट करा.
3. पुनरुत्पादनाची पावले आणि शक्य असल्यास बिल्ड करता येईल असा प्रूफ ऑफ कॉन्सेप्ट. संबंधित आउटपुट किंवा क्रॅश डंप उपलब्ध असल्यास जोडा. प्रत्यक्ष निरीक्षण आणि अनुमानित परिणाम वेगळे मांडा.
4. योग्य कार्यक्रम आणि अहवालाची जागा. OSS पुरवठा-साखळी अहवालासाठी असुरक्षितता फॉर्मच्या Bug Location टप्प्यात OSS VRP निवडा आणि रिपॉझिटरी URL द्या. Cloud किंवा AI साठी त्या कार्यक्रमाचे व्याप्ती व फॉर्म-संबंधित निर्देश पाळा.

शक्य असल्यास स्थानिक पातळीवर चाचणी करा, इतर वापरकर्त्यांना अडथळा आणू नका आणि मोठ्या प्रमाणात ट्रॅफिक निर्माण करणाऱ्या स्वयंचलित चाचण्या टाळा, असे Google सुचवते. त्याचे [Cloud नियम](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) ग्राहक-मालकीच्या स्रोतांची चाचणी करण्यास मनाई करतात. [AI नियम](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) अहवाल देणाऱ्याने समस्या पडताळून व्याप्तीत येणारा धोका सोप्या भाषेत स्पष्ट करावा अशी मागणी करतात. या मर्यादा अहवालाच्या दर्जाइतक्याच महत्त्वाच्या आहेत.

कार्यक्रमाची पाने सार्वजनिक आहेत आणि असुरक्षिततेचा अहवाल दाखल करण्यासाठी शुल्क नसल्याचे सांगतात. प्रत्यक्ष गरज म्हणजे ठोस निष्कर्ष, पात्र लक्ष्य आणि निवडलेल्या कार्यक्रमाचे नियम पाळणारा अहवाल. पुरस्कार कार्यक्रमाच्या निर्णयाधीन असून कार्यक्रम, प्रकल्पाचा स्तर आणि परिणामानुसार बदलतो. सध्याच्या OSS पुरस्कार-तक्त्यात उत्पादनाच्या नव्या असुरक्षिततेसाठी पुरस्कार नाहीत; पात्र स्तरांतील पुरवठा-साखळी असुरक्षिततेसाठी पुरस्कार-श्रेणी अजून दिल्या आहेत. अहवाल दाखल करणे किंवा तो नीट लिहिणे यामुळे पैसे मिळण्याची हमी नसते.

## Google ने अहवाल स्वीकारण्याची पद्धत का बदलली

मार्चच्या पोस्टमध्ये Google ने सांगितले की संशोधकांनी AI चे निष्कर्ष पडताळल्यास AI-सहाय्यित संशोधन उपयुक्त ठरू शकते. काही अहवालांनी ट्रिगर बनवला किंवा कोडमधील त्रुटी दाखवली, पण पोहोचण्याजोगा व अर्थपूर्ण सुरक्षा-परिणाम दाखवला नाही, असे कंपनीने म्हटले. एप्रिलच्या अद्ययावतात खालच्या OT2 आणि OT3 स्तरांतील प्रकल्पांच्या उत्पादन-असुरक्षितता आणि इतर सुरक्षा समस्यांसाठी पुरस्कार किंवा श्रेय काढले. ऑक्टोबरची स्थगिती सर्व प्रकल्प-स्तरांवरील *नव्या* OSS VRP उत्पादन-अहवालांनाही लागू होते. [TechCrunch](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) नेही स्थगितीबद्दल बातमी दिली. Google ची सार्वजनिक विधाने नियमबदल आणि त्याने दिलेले कारण स्पष्ट करतात; मात्र सबमिशनची संख्या किंवा अवैध अहवालांपैकी किती AI वापरून बनले याचे स्वतंत्र मोजमाप देत नाहीत.

संशोधकाने तातडीने निष्कर्षाचे सध्याच्या नियमांनुसार वर्गीकरण करावे, प्रत्यक्ष सुरक्षा-परिणाम दाखवावा आणि सध्या पात्र असलेलाच मार्ग वापरावा. Google 2027 च्या पहिल्या तिमाहीत उत्पादन-अहवालाचा मार्ग अद्ययावत करेल; तोपर्यंत OSS VRP उत्पादनाच्या नव्या सबमिशनसाठी ऑक्टोबरचा कटऑफ लागू राहतो.

## स्रोत आणि पुढील वाचन

- [Google OSS VRP चे नियम](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules); सध्याचे नियम 5 ऑक्टोबर 2026 रोजी तपासले. यात 1 ऑक्टोबरचा कटऑफ, सुरू राहणारी पुरवठा-साखळी व्याप्ती, अहवालाच्या अटी आणि पुरस्कारांच्या मर्यादा आहेत.
- [Google चे 19 मार्च 2026 चे नियम-अद्ययावत](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)आणि एप्रिलचे अद्ययावत. यात AI-संबंधित आधीची विशिष्ट निरीक्षणे आणि प्रकल्प-स्तरांतील बदल नोंदवले आहेत.
- [Google VRP चे 1 ऑक्टोबर 2026 चे निवेदन](https://x.com/GoogleVRP/status/2105689195180179605) .आमच्या संशोधन वातावरणात X वरील मूळ पोस्ट मिळाली नाही; मजकूर आणि पोस्ट ID [तृतीय-पक्षाच्या प्रतीत](https://twstalker.com/GoogleVRP/status/2105689195180179605) सापडले आणि व्याप्ती Google च्या सध्याच्या नियमांशी पडताळली.
- [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) , [AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) आणि [Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) चे नियम; 5 ऑक्टोबर 2026 रोजी तपासले. प्रत्येक कार्यक्रमाच्या पात्रता आणि अहवाल-अटी स्वतंत्र आहेत.

## Sources

- [Google Bug Hunters: Google OSS VRP सोपे करणे: महत्त्वाचे नियमबदल](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) — AI-निर्मित अहवाल वाढल्याचे Google ने सांगितले, सुरक्षा-परिणामाचे अधिक ठोस पुरावे का हवेत हे स्पष्ट केले आणि एप्रिलमध्ये प्रकल्प-स्तरानुसार पुरस्कार बदलले. ऑक्टोबरची स्थगिती सध्याच्या OSS VRP नियमांत आहे.
- [Google Bug Hunters: OSS VRP चे नियम](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) — 5 ऑक्टोबर 2026 रोजी तपासले. Google च्या सध्याच्या नियमांत 1 ऑक्टोबरपासून उत्पादन-अहवाल स्थगिती, सुरू असलेला पुरवठा-साखळी मार्ग, अहवाल सूचना आणि पुरस्कार अटी आहेत.
- [Google VRP (@GoogleVRP) चे 1 ऑक्टोबर 2026 चे निवेदन](https://x.com/GoogleVRP/status/2105689195180179605) — 1 ऑक्टोबरच्या निवेदनात अवैध स्वयंचलित सबमिशन वाढल्याचे म्हटले. X वरील मूळ पोस्ट मिळाली नाही; तृतीय-पक्षाच्या प्रतीत मजकूर आणि पोस्ट ID होते. Google चे प्रकाशित OSS नियम स्थगितीची व्याप्ती स्वतंत्रपणे पुष्टी करतात.
- [Google Bug Hunters च्या OSS VRP नियमांची सार्वजनिक GitHub प्रत](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) — Google च्या GitHub प्रतीत दिनांकित उत्पादन-अहवाल स्थगिती आणि सुरू असलेले पुरवठा-साखळी निकष यांसह सध्याचे OSS VRP नियम पूर्णपणे आहेत. 5 ऑक्टोबर 2026 रोजी तपासले.
- [Google Cloud VRP चे नियम](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) — Google Cloud देखभाल करत असलेल्या ओपन-सोर्स रिपॉझिटरीतील असुरक्षितता Cloud उत्पादन किंवा सेवेला प्रभावित करत असल्यास पात्र ठरू शकते. पात्रता आणि पुरस्काराचा स्तर Cloud कार्यक्रमाच्या नियमांवर अवलंबून असतो. 5 ऑक्टोबर 2026 रोजी तपासले.
- [Google AI VRP चे नियम](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) — जनरेटिव्ह AI प्रणालीशी संवाद हा समस्येचा अविभाज्य भाग असल्यास Google आणि Alphabet AI उत्पादनांतील ठरावीक समस्या या कार्यक्रमात येतात. अहवाल देणाऱ्याने निष्कर्ष पडताळणे आवश्यक आहे. 5 ऑक्टोबर 2026 रोजी तपासले.
- [Google Patch Rewards Program चे नियम](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) — हा स्वतंत्र कार्यक्रम स्वतःच्या प्रकल्प व सबमिशन नियमांनुसार पात्र ओपन-सोर्स प्रकल्पांतील सुरक्षा-सुधारणा आणि पॅच तपासतो. 5 ऑक्टोबर 2026 रोजी तपासले.
- [TechCrunch: AI सबमिशन झपाट्याने वाढल्यानंतर Google ने ओपन-सोर्स बग बाउंटी कार्यक्रम गोठवला](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) — 4 ऑक्टोबरचा अहवाल घोषणेची पार्श्वभूमी देतो. येथे वर्णन केलेले अचूक अहवालमार्ग Google च्या प्रकाशित कार्यक्रम-नियमांवर आधारित आहेत.
- [Tom's Hardware: अवैध AI सबमिशनच्या लाटेमुळे Google ने ओपन-सोर्स बग बाउंटी कार्यक्रम गोठवला](https://www.tomshardware.com/tech-industry/artificial-intelligence/google-suspends-part-of-the-oss-vrp-bug-bounty-program-due-to-an-influx-of-invalid-ai-submissions-product-vulnerability-submissions-ended-october-1) — 3 ऑक्टोबरची घोषणेबाबतची बातमी. Google चे ऑक्टोबरचे निवेदन स्वयंचलित सबमिशनबद्दल आहे; मार्चची कार्यक्रम-पोस्ट AI-निर्मित अहवालांवर स्वतंत्रपणे चर्चा करते.