С 1 октября 2026 года Google больше не принимает новые сообщения об уязвимостях продуктов в рамках своей программы вознаграждений за уязвимости ПО с открытым исходным кодом (OSS VRP). Действующие правила программы устанавливают дату прекращения приема. Сообщения о цепочке поставок по-прежнему принимаются, а Google заявляет, что приостановка не затрагивает сообщения о продуктах, поданные до 1 октября. Для некоторых репозиториев, поддерживаемых Google Cloud, если уязвимость влияет на продукт Cloud, Cloud VRP может продолжать принимать сообщения о продукте.
Приостановка последовала за изменением правил от 19 марта .Тогда Google сообщил о росте числа созданных ИИ сообщений с неверными условиями срабатывания или незначительным влиянием на безопасность. В заявлении от 1 октябряGoogle описала рост автоматизированных отправок, подавляющее большинство которых, по ее словам, было недействительным. В октябрьском заявлении не утверждалось, что каждое автоматизированное сообщение было создано ИИ. Google пообещала обновление в первом квартале 2027 года, но не назвала дату возобновления приема.
Главное изменение
Раньше OSS VRP принимала соответствующие требованиям сообщения об уязвимостях продуктов в подходящих проектах Google с открытым кодом с учетом уровня проекта и требований к доказательствам. С 1 октября канал для новых сообщений о продуктах приостановлен. Канал для цепочки поставок по-прежнему принимает находки, способные поставить под угрозу исходный код или распространяемые сборки; ранее поданные сообщения о продуктах продолжают обрабатываться. Теперь исследователям нужно определить тип находки и ее влияние на продукт, прежде чем выбирать форму. Возможность обратиться в другую программу определяется правилами Google, а не только принадлежностью репозитория компании.
Сначала определите тип находки и канал
Начните с правил OSS VRP и проверьте, кому принадлежит затронутый репозиторий и какова его актуальная версия. Google указывает, что программа охватывает последние версии ПО в публичных репозиториях принадлежащих ей организаций GitHub, а также отдельные репозитории на других платформах. Это не означает, что каждый случай дает право на вознаграждение.
Находка | Доступный сейчас канал по правилам Google |
|---|---|
Новая уязвимость продукта в Google OSS, например дефект в ПО, используемом зависимым продуктом | Во время приостановки не подавайте ее как новое сообщение о продукте в OSS VRP. Проверьте, соответствует ли доказанное влияние собственным правилам другой программы. |
Уязвимость, способная нарушить целостность исходного кода Google OSS или распространяемых артефактов сборки | Проверьте критерии OSS VRP для цепочки поставок, затем используйте форму сообщения об уязвимости Google, выбрав OSS VRP и указав URL репозитория. Этот канал остается открытым. |
Уязвимость продукта, о которой сообщили до 1 октября | Продолжайте работу по существующему сообщению. Google заявляет, что приостановка не затрагивает незакрытые обращения. |
Репозиторий Google Cloud, проблема в котором влияет на продукт или сервис Google Cloud | Проверьте правила Cloud VRP, включая уровень затронутого продукта. Google говорит, что некоторые такие сообщения могут быть приняты; одного расположения репозитория недостаточно. |
Проблема в AI-продукте Google или Alphabet, где LLM или другая генеративная система ИИ является неотъемлемой частью проблемы | Проверьте правила AI VRP .Использование ИИ для поиска обычного дефекта кода само по себе не делает его случаем для AI VRP. |
Предлагаемое улучшение безопасности или исправление | Проверьте отдельные правила программы Patch Rewards для подходящих проектов и изменений. Это программа для исправлений, а не альтернативный канал для того же сообщения об уязвимости, прием которого приостановлен. |
В правилах OSS Google по-прежнему содержатся прежние критерии приема уязвимостей продуктов, включая воспроизведение с помощью OSS-Fuzz или объединенный патч для некоторых случаев повреждения памяти. Эти положения описывают требования к такому типу сообщения, но находятся ниже нового октябрьского ограничения. Они не позволяют подать новое сообщение об уязвимости продукта в OSS VRP во время приостановки.
Что нужно для сообщения OSS, которое еще принимается
Для находки в цепочке поставок правила Google требуют показать эксплуатируемый путь к изменению исходного кода Google OSS, артефактов сборки или распространяемых пакетов. Сценарий, который работает только после одобрения сопровождающим внешнего запроса на изменение, считается риском со стороны инсайдера и может получить признание, но не вознаграждение за уязвимость цепочки поставок. Среди соответствующих областей Google называет конфигурацию репозиториев и сборки, инфраструктуру выпуска и учетные данные публикации. Это описание области действия, а не разрешение проверять чужую инфраструктуру.
Руководство основано на документации программ Google, проверенной 5 октября 2026 года. BIG CHANGE не тестировала уязвимости и не отправляла сообщений. Перед подачей подготовьте материалы, перечисленные в инструкциях по сообщению :
- URL репозитория, затронутую версию ПО и недавнюю сборку или конфигурацию, к которым относится находка.
- Краткое описание дефекта, условий его срабатывания и влияния на безопасность. Опишите сценарий атаки, не считая предупреждение в коде само по себе доказательством эксплуатируемой уязвимости.
- Инструкции по воспроизведению и, если возможно, собираемый пример эксплуатации. Приложите соответствующий вывод или дамп сбоя, если они есть. Отделите наблюдаемый результат от предполагаемого влияния.
- Подходящую программу и место подачи. Для сообщения о цепочке поставок OSS выберите OSS VRP в разделе Bug Location формы уязвимости и укажите URL репозитория. Для Cloud или AI следуйте собственным правилам охвата и инструкциям формы.
Google рекомендует по возможности тестировать локально, не мешать другим пользователям и не запускать автоматические тесты, создающие значительный трафик. Его правила Cloud запрещают тестировать ресурсы, принадлежащие клиентам. Правила AI требуют, чтобы заявитель проверил проблему и простыми словами объяснил угрозу, входящую в область программы. Эти ограничения так же важны, как и качество отчета.
Страницы программ открыты и указывают, что подача сообщения об уязвимости бесплатна. На практике нужны конкретная находка, подходящая цель и сообщение, соответствующее правилам выбранной программы. Вознаграждение назначается по усмотрению программы и зависит от нее, уровня проекта и влияния. В актуальной таблице OSS больше нет вознаграждений за новые уязвимости продуктов; диапазоны для уязвимостей цепочки поставок на подходящих уровнях остаются. Ни подача, ни хорошо оформленное сообщение не гарантируют выплату.
Почему Google изменила порядок приема сообщений
В мартовской публикации Google писала, что исследования с помощью ИИ полезны, если исследователи проверяют результаты. По словам компании, некоторые сообщения выдумывали условие срабатывания или указывали на ошибку программирования, не показывая достижимого и значимого влияния на безопасность. В апрельском обновлении компания отменила вознаграждения или признание за уязвимости продуктов и другие проблемы безопасности в проектах низших уровней OT2 и OT3. Октябрьская приостановка распространяется дальше — на новые сообщения о продуктах OSS VRP на всех уровнях проектов. О приостановке также сообщила TechCrunch .Публичные заявления Google подтверждают изменение правил и указанную компанией причину, но не содержат числа подач или независимой оценки того, сколько недействительных сообщений использовали ИИ.
Сейчас исследователю нужно классифицировать находку по действующим правилам, доказать реальное последствие для безопасности и использовать только доступный на данный момент канал. Google заявляет, что обновит путь для сообщений о продуктах в первом квартале 2027 года; до тех пор новые сообщения о продуктах OSS VRP подпадают под октябрьское ограничение.
Источники и дополнительная литература
- Правила Google OSS VRP; актуальные правила проверены 5 октября 2026 года. В них указаны дата ограничения 1 октября, продолжающий действовать охват цепочки поставок, требования к сообщениям и ограничения вознаграждений.
- Обновление правил Google от 19 марта 2026 годаи апрельское обновление. Документируют прежние конкретные наблюдения Google, связанные с ИИ, и изменения уровней проектов.
- Заявление Google VRP от 1 октября 2026 года .Прямой пост в X не удалось получить в нашей исследовательской среде; его текст и идентификатор нашли в сторонней копии а область действия сверили с действующими правилами Google.
- Правила Cloud VRP , AI VRP и Patch Rewards ; проверены 5 октября 2026 года. У каждой программы свои условия участия и подачи сообщений.
