Desde 1º de outubro de 2026, o Google deixou de aceitar novos relatos de vulnerabilidades de produtos em seu Programa de Recompensas por Vulnerabilidades de Software de Código Aberto (OSS VRP). As regras atuais do programa definem a data de corte. Relatos sobre a cadeia de suprimentos continuam aceitos, e o Google diz que a pausa não afeta relatos de produtos enviados antes de 1º de outubro. Para alguns repositórios mantidos pelo Google Cloud cuja vulnerabilidade afete produtos Cloud, o Cloud VRP ainda pode aceitar relatos de produtos.
A pausa veio após a atualização das regras de 19 de marçodo Google. Na ocasião, a empresa disse que aumentavam os relatos gerados por IA com gatilhos incorretos ou impacto de segurança insignificante. Em sua declaração de 1º de outubro, o Google descreveu um aumento de envios automatizados e afirmou que a grande maioria era inválida. A declaração de outubro não classificou todo relato automatizado como gerado por IA. O Google prometeu uma atualização no primeiro trimestre de 2027, sem informar uma data de reabertura.
A grande mudança
Antes, o OSS VRP aceitava relatos qualificados de vulnerabilidades de produtos em projetos de código aberto elegíveis do Google, conforme o nível do projeto e os requisitos de evidência. Desde 1º de outubro, o canal para novos relatos de produtos está pausado. O canal da cadeia de suprimentos continua aceitando achados que possam comprometer o código-fonte ou builds distribuídos, e os relatos de produtos já enviados seguem em análise. Agora os pesquisadores precisam identificar o tipo de achado e seu impacto no produto antes de escolher um formulário. As regras do Google, e não apenas a propriedade do repositório, determinam se outro programa está disponível.
Identifique o canal antes de reportar
Comece pelas regras do OSS VRP e confirme a identidade e a versão atual do repositório afetado. O Google diz que o programa abrange as versões mais recentes de softwares em repositórios públicos de organizações GitHub que pertencem à empresa, além de alguns repositórios em outras plataformas. Esse escopo não torna todo problema elegível a recompensa.
Achado | Canal disponível segundo as regras do Google |
|---|---|
Nova vulnerabilidade de produto no Google OSS, como uma falha em software usado por um produto dependente | Não a envie como novo relato de produto ao OSS VRP durante a pausa. Verifique se o impacto demonstrado atende às regras próprias de outro programa. |
Falha que possa comprometer a integridade do código-fonte do Google OSS ou de artefatos de build distribuídos | Confira os critérios de cadeia de suprimentos do OSS VRP e use o formulário de vulnerabilidade do Google, selecionando OSS VRP e informando a URL do repositório. Esse canal continua aberto. |
Achado de produto reportado antes de 1º de outubro | Continue pelo relato existente. O Google diz que a pausa não afeta relatos pendentes. |
Repositório mantido pelo Google Cloud com impacto em um produto ou serviço Google Cloud | Consulte as regras do Cloud VRP, inclusive o nível do produto afetado. O Google diz que alguns relatos desse tipo podem ser aceitos ali; a localização do repositório, por si só, não basta. |
Problema em produto de IA do Google ou da Alphabet no qual um LLM ou outro sistema de IA generativa seja parte integral do problema | Consulte as regras do AI VRP .Usar IA para encontrar uma falha convencional de código não a torna, por si só, elegível ao AI VRP. |
Melhoria de segurança ou patch proposto | Consulte as regras próprias do programa Patch Rewards para saber quais projetos e alterações são elegíveis. É um programa de patches, não um canal alternativo para o mesmo relato de vulnerabilidade pausado. |
As regras OSS do Google ainda contêm critérios anteriores para aceitar vulnerabilidades de produtos, incluindo reprodução com OSS-Fuzz ou um patch incorporado para certas falhas de corrupção de memória. Esses trechos descrevem requisitos daquele tipo de relato, mas aparecem abaixo do novo corte de outubro. Não são uma forma de enviar novos relatos de produtos ao OSS VRP enquanto a pausa estiver em vigor.
O que um relato OSS ainda aceito precisa conter
Para um achado da cadeia de suprimentos, as regras do Google pedem que pesquisadores demonstrem um caminho explorável para alterar o código-fonte do Google OSS, artefatos de build ou pacotes distribuídos. Um cenário que só funciona depois de um mantenedor aprovar uma solicitação externa de alteração é tratado como risco interno e pode receber crédito, mas não recompensa por vulnerabilidade da cadeia de suprimentos. O Google cita como superfícies relevantes a configuração de repositórios e builds, a infraestrutura de lançamento e as credenciais de publicação. São descrições de escopo, não autorização para testar a infraestrutura de terceiros.
Este guia se baseia na documentação dos programas do Google verificada em 5 de outubro de 2026. A BIG CHANGE não testou vulnerabilidades nem enviou relatos. Antes de enviar, reúna os itens pedidos nas instruções de relato :
- A URL do repositório, a versão do software afetada e um build ou uma configuração recente aos quais o achado se aplique.
- Uma descrição concisa da falha, das condições necessárias para acioná-la e do impacto de segurança. Explique o cenário de ataque sem presumir que um alerta no código, sozinho, prova a existência de uma vulnerabilidade explorável.
- Instruções de reprodução e, quando viável, uma prova de conceito que possa ser compilada. Inclua saídas relevantes ou um despejo de falha, se disponíveis. Separe o resultado observado do impacto que você infere.
- O programa e o canal apropriados. Para um relato de cadeia de suprimentos OSS, selecione OSS VRP na etapa Bug Location do formulário de vulnerabilidade e informe a URL do repositório. Para Cloud ou AI, siga o escopo e as instruções próprios de cada programa.
O Google recomenda testar localmente quando possível, evitar interromper outros usuários e não usar testes automatizados que gerem tráfego significativo. Suas regras do Cloud proíbem testar recursos pertencentes a clientes. As regras do AI exigem que quem relata verifique o problema e explique em linguagem simples uma ameaça dentro do escopo. Esses limites importam tanto quanto a qualidade do relato.
As páginas dos programas são públicas e informam que não há cobrança para enviar um relato de vulnerabilidade. Os requisitos práticos são um achado concreto, um alvo elegível e um relato que siga as regras do programa escolhido. As recompensas são discricionárias e variam conforme o programa, o nível do projeto e o impacto. A tabela atual do OSS não lista recompensas para novas vulnerabilidades de produtos; ainda apresenta faixas para vulnerabilidades de cadeia de suprimentos em níveis elegíveis. Nem o envio nem um relato bem elaborado garantem pagamento.
Por que o Google mudou o recebimento de relatos
Em uma publicação de março, o Google afirmou que a pesquisa assistida por IA pode ser útil quando os pesquisadores verificam os resultados. Disse que alguns relatos inventavam um gatilho ou apontavam um erro de programação sem demonstrar um impacto de segurança alcançável e significativo. Uma atualização de abril removeu recompensas ou créditos por vulnerabilidades de produtos e outros problemas de segurança em projetos de nível inferior OT2 e OT3. A pausa de outubro vai além para novos relatos de produtos do OSS VRP em todos os níveis de projeto. A TechCrunch também noticiou a pausa. As declarações públicas do Google estabelecem a mudança e a justificativa apresentada, mas não informam o número de envios nem uma medida independente de quantos relatos inválidos usaram IA.
A tarefa imediata de quem pesquisa é classificar o achado segundo as regras vigentes, demonstrar uma consequência real de segurança e usar somente um canal atualmente elegível. O Google diz que atualizará o canal para relatos de produtos no primeiro trimestre de 2027; até lá, o corte de outubro rege novos relatos de produtos ao OSS VRP.
Fontes e leituras complementares
- Regras do Google OSS VRP; regras atuais consultadas em 5 de outubro de 2026. Definem o corte de 1º de outubro, o escopo de cadeia de suprimentos que continua, os requisitos de relato e os limites das recompensas.
- Atualização das regras do Google de 19 de março de 2026e atualização de abril. Documentam observações anteriores do Google especificamente ligadas à IA e mudanças nos níveis de projeto.
- Declaração do Google VRP de 1º de outubro de 2026 .A publicação direta no X não estava disponível em nosso ambiente de pesquisa; o texto e o ID foram localizados por meio de uma cópia de terceiros e o escopo foi conferido com as regras atuais do Google.
- Cloud VRP , AI VRP e Patch Rewards ; consultadas em 5 de outubro de 2026. Cada programa tem critérios próprios de elegibilidade e envio.
