AI-translated from English; not yet reviewed by a fluent editor.

# Google suspende novos relatos de vulnerabilidades em produtos de código aberto: onde pesquisadores ainda podem reportar

> Em 1º de outubro, o Google suspendeu novos relatos de vulnerabilidades de produtos ao OSS VRP. Relatos sobre a cadeia de suprimentos e casos já abertos continuam; alguns achados podem se enquadrar nas regras próprias de Cloud, AI ou Patch Rewards.

By BIG CHANGE Editorial

Published: 2026-10-05T04:59:25.735Z
Updated: 2026-10-05T04:59:25.735Z
Canonical: https://bigchange.ai/blog/google-oss-vrp-product-report-pause-routing-guide

![Conceptual charcoal illustration of two wall-mounted report slots: one shutter is closed, while a plain sheet rests in the other open slot.](https://bigchange.ai/api/media/file/google-oss-vrp-report-routing-hero-v2.png)
AI-generated conceptual editorial illustration by BIG CHANGE.

Desde 1º de outubro de 2026, o Google deixou de aceitar novos relatos de vulnerabilidades de produtos em seu Programa de Recompensas por Vulnerabilidades de Software de Código Aberto (OSS VRP). As [regras atuais do programa](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) definem a data de corte. Relatos sobre a cadeia de suprimentos continuam aceitos, e o Google diz que a pausa não afeta relatos de produtos enviados antes de 1º de outubro. Para alguns repositórios mantidos pelo Google Cloud cuja vulnerabilidade afete produtos Cloud, o [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) ainda pode aceitar relatos de produtos.

A pausa veio após a [atualização das regras de 19 de março](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)do Google. Na ocasião, a empresa disse que aumentavam os relatos gerados por IA com gatilhos incorretos ou impacto de segurança insignificante. Em sua [declaração de 1º de outubro](https://x.com/GoogleVRP/status/2105689195180179605), o Google descreveu um aumento de envios *automatizados* e afirmou que a grande maioria era inválida. A declaração de outubro não classificou todo relato automatizado como gerado por IA. O Google prometeu uma atualização no primeiro trimestre de 2027, sem informar uma data de reabertura.

## A grande mudança

Antes, o OSS VRP aceitava relatos qualificados de vulnerabilidades de produtos em projetos de código aberto elegíveis do Google, conforme o nível do projeto e os requisitos de evidência. Desde 1º de outubro, o canal para novos relatos de produtos está pausado. O canal da cadeia de suprimentos continua aceitando achados que possam comprometer o código-fonte ou builds distribuídos, e os relatos de produtos já enviados seguem em análise. Agora os pesquisadores precisam identificar o tipo de achado e seu impacto no produto antes de escolher um formulário. As regras do Google, e não apenas a propriedade do repositório, determinam se outro programa está disponível.

## Identifique o canal antes de reportar

Comece pelas [regras do OSS VRP](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) e confirme a identidade e a versão atual do repositório afetado. O Google diz que o programa abrange as versões mais recentes de softwares em repositórios públicos de organizações GitHub que pertencem à empresa, além de alguns repositórios em outras plataformas. Esse escopo não torna todo problema elegível a recompensa.

| Achado | Canal disponível segundo as regras do Google |
| --- | --- |
| Nova vulnerabilidade de produto no Google OSS, como uma falha em software usado por um produto dependente | Não a envie como novo relato de produto ao OSS VRP durante a pausa. Verifique se o impacto demonstrado atende às regras próprias de outro programa. |
| Falha que possa comprometer a integridade do código-fonte do Google OSS ou de artefatos de build distribuídos | Confira os critérios de cadeia de suprimentos do OSS VRP e use o [formulário de vulnerabilidade](https://bughunters.google.com/report) do Google, selecionando OSS VRP e informando a URL do repositório. Esse canal continua aberto. |
| Achado de produto reportado antes de 1º de outubro | Continue pelo relato existente. O Google diz que a pausa não afeta relatos pendentes. |
| Repositório mantido pelo Google Cloud com impacto em um produto ou serviço Google Cloud | Consulte as [regras do Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules), inclusive o nível do produto afetado. O Google diz que alguns relatos desse tipo podem ser aceitos ali; a localização do repositório, por si só, não basta. |
| Problema em produto de IA do Google ou da Alphabet no qual um LLM ou outro sistema de IA generativa seja parte integral do problema | Consulte as [regras do AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) .Usar IA para encontrar uma falha convencional de código não a torna, por si só, elegível ao AI VRP. |
| Melhoria de segurança ou patch proposto | Consulte as regras próprias do [programa Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) para saber quais projetos e alterações são elegíveis. É um programa de patches, não um canal alternativo para o mesmo relato de vulnerabilidade pausado. |

As [regras OSS](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) do Google ainda contêm critérios anteriores para aceitar vulnerabilidades de produtos, incluindo reprodução com OSS-Fuzz ou um patch incorporado para certas falhas de corrupção de memória. Esses trechos descrevem requisitos daquele tipo de relato, mas aparecem abaixo do novo corte de outubro. Não são uma forma de enviar novos relatos de produtos ao OSS VRP enquanto a pausa estiver em vigor.

## O que um relato OSS ainda aceito precisa conter

Para um achado da cadeia de suprimentos, as regras do Google pedem que pesquisadores demonstrem um caminho explorável para alterar o código-fonte do Google OSS, artefatos de build ou pacotes distribuídos. Um cenário que só funciona depois de um mantenedor aprovar uma solicitação externa de alteração é tratado como risco interno e pode receber crédito, mas não recompensa por vulnerabilidade da cadeia de suprimentos. O Google cita como superfícies relevantes a configuração de repositórios e builds, a infraestrutura de lançamento e as credenciais de publicação. São descrições de escopo, não autorização para testar a infraestrutura de terceiros.

Este guia se baseia na documentação dos programas do Google verificada em 5 de outubro de 2026. A BIG CHANGE não testou vulnerabilidades nem enviou relatos. Antes de enviar, reúna os itens pedidos nas [instruções de relato](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) :

1. A URL do repositório, a versão do software afetada e um build ou uma configuração recente aos quais o achado se aplique.
2. Uma descrição concisa da falha, das condições necessárias para acioná-la e do impacto de segurança. Explique o cenário de ataque sem presumir que um alerta no código, sozinho, prova a existência de uma vulnerabilidade explorável.
3. Instruções de reprodução e, quando viável, uma prova de conceito que possa ser compilada. Inclua saídas relevantes ou um despejo de falha, se disponíveis. Separe o resultado observado do impacto que você infere.
4. O programa e o canal apropriados. Para um relato de cadeia de suprimentos OSS, selecione OSS VRP na etapa Bug Location do formulário de vulnerabilidade e informe a URL do repositório. Para Cloud ou AI, siga o escopo e as instruções próprios de cada programa.

O Google recomenda testar localmente quando possível, evitar interromper outros usuários e não usar testes automatizados que gerem tráfego significativo. Suas [regras do Cloud](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) proíbem testar recursos pertencentes a clientes. As [regras do AI](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) exigem que quem relata verifique o problema e explique em linguagem simples uma ameaça dentro do escopo. Esses limites importam tanto quanto a qualidade do relato.

As páginas dos programas são públicas e informam que não há cobrança para enviar um relato de vulnerabilidade. Os requisitos práticos são um achado concreto, um alvo elegível e um relato que siga as regras do programa escolhido. As recompensas são discricionárias e variam conforme o programa, o nível do projeto e o impacto. A tabela atual do OSS não lista recompensas para novas vulnerabilidades de produtos; ainda apresenta faixas para vulnerabilidades de cadeia de suprimentos em níveis elegíveis. Nem o envio nem um relato bem elaborado garantem pagamento.

## Por que o Google mudou o recebimento de relatos

Em uma publicação de março, o Google afirmou que a pesquisa assistida por IA pode ser útil quando os pesquisadores verificam os resultados. Disse que alguns relatos inventavam um gatilho ou apontavam um erro de programação sem demonstrar um impacto de segurança alcançável e significativo. Uma atualização de abril removeu recompensas ou créditos por vulnerabilidades de produtos e outros problemas de segurança em projetos de nível inferior OT2 e OT3. A pausa de outubro vai além para *novos* relatos de produtos do OSS VRP em todos os níveis de projeto. [A TechCrunch](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) também noticiou a pausa. As declarações públicas do Google estabelecem a mudança e a justificativa apresentada, mas não informam o número de envios nem uma medida independente de quantos relatos inválidos usaram IA.

A tarefa imediata de quem pesquisa é classificar o achado segundo as regras vigentes, demonstrar uma consequência real de segurança e usar somente um canal atualmente elegível. O Google diz que atualizará o canal para relatos de produtos no primeiro trimestre de 2027; até lá, o corte de outubro rege novos relatos de produtos ao OSS VRP.

## Fontes e leituras complementares

- [Regras do Google OSS VRP](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules); regras atuais consultadas em 5 de outubro de 2026. Definem o corte de 1º de outubro, o escopo de cadeia de suprimentos que continua, os requisitos de relato e os limites das recompensas.
- [Atualização das regras do Google de 19 de março de 2026](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)e atualização de abril. Documentam observações anteriores do Google especificamente ligadas à IA e mudanças nos níveis de projeto.
- [Declaração do Google VRP de 1º de outubro de 2026](https://x.com/GoogleVRP/status/2105689195180179605) .A publicação direta no X não estava disponível em nosso ambiente de pesquisa; o texto e o ID foram localizados por meio de [uma cópia de terceiros](https://twstalker.com/GoogleVRP/status/2105689195180179605) e o escopo foi conferido com as regras atuais do Google.
- [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) , [AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) e [Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) ; consultadas em 5 de outubro de 2026. Cada programa tem critérios próprios de elegibilidade e envio.

## Sources

- [Google Bug Hunters: Simplificando o OSS VRP do Google: principais atualizações das regras](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) — O Google descreveu o aumento de relatos gerados por IA, explicou por que passou a exigir evidências mais fortes de impacto de segurança e atualizou as recompensas por nível de projeto em abril. A pausa de outubro consta nas regras atuais do OSS VRP.
- [Google Bug Hunters: regras do OSS VRP](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) — Consultadas em 5 de outubro de 2026. As regras atuais do Google definem a pausa dos novos relatos de produtos em 1º de outubro, a continuidade do canal de cadeia de suprimentos, as instruções de relato e as condições de recompensa.
- [Declaração do Google VRP (@GoogleVRP) de 1º de outubro de 2026](https://x.com/GoogleVRP/status/2105689195180179605) — A declaração de 1º de outubro mencionou o aumento de envios automatizados inválidos. Não conseguimos recuperar a publicação direta no X; uma cópia de terceiros mostrou o texto e o ID. As regras OSS publicadas pelo Google confirmam separadamente o escopo da pausa.
- [Espelho público no GitHub das regras OSS VRP do Google Bug Hunters](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) — A cópia do Google no GitHub traz as regras OSS VRP atuais completas, incluindo a pausa datada para relatos de produtos e os critérios de cadeia de suprimentos que continuam. Consultada em 5 de outubro de 2026.
- [Regras do Google Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) — Um repositório de código aberto mantido pelo Google Cloud pode ser elegível quando a falha afeta um produto ou serviço Cloud. A elegibilidade e o nível de recompensa dependem das regras próprias do programa Cloud. Consultadas em 5 de outubro de 2026.
- [Regras do Google AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) — O programa abrange problemas específicos em produtos de IA do Google e da Alphabet quando a interação com um sistema de IA generativa é parte integral do problema. Exige que quem relata verifique o achado. Consultadas em 5 de outubro de 2026.
- [Regras do Google Patch Rewards Program](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) — Esse programa separado avalia melhorias de segurança e patches elegíveis para projetos de código aberto participantes segundo suas próprias regras de projeto e envio. Consultadas em 5 de outubro de 2026.
- [TechCrunch: Google congela seu programa de recompensas open source após forte aumento de envios de IA](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) — A reportagem de 4 de outubro contextualiza o anúncio. As regras publicadas pelo Google definem os canais exatos descritos aqui.
- [Tom's Hardware: Google congela programa open source de recompensas diante de uma onda de envios inválidos de IA](https://www.tomshardware.com/tech-industry/artificial-intelligence/google-suspends-part-of-the-oss-vrp-bug-bounty-program-due-to-an-influx-of-invalid-ai-submissions-product-vulnerability-submissions-ended-october-1) — Cobertura do anúncio de 3 de outubro. A declaração de outubro do Google trata de envios automatizados; a publicação de março aborda separadamente relatos gerados por IA.