AI-translated from English; not yet reviewed by a fluent editor.

# Google приостанавливает новые сообщения об уязвимостях продуктов с открытым кодом: куда еще могут обратиться исследователи

> 1 октября Google приостановила прием новых сообщений об уязвимостях продуктов в OSS VRP. Сообщения о цепочке поставок и уже открытые дела продолжают рассматриваться; к некоторым находкам могут применяться отдельные правила Cloud, AI или Patch Rewards.

By BIG CHANGE Editorial

Published: 2026-10-05T04:59:25.735Z
Updated: 2026-10-05T04:59:25.735Z
Canonical: https://bigchange.ai/blog/google-oss-vrp-product-report-pause-routing-guide

![Conceptual charcoal illustration of two wall-mounted report slots: one shutter is closed, while a plain sheet rests in the other open slot.](https://bigchange.ai/api/media/file/google-oss-vrp-report-routing-hero-v2.png)
AI-generated conceptual editorial illustration by BIG CHANGE.

С 1 октября 2026 года Google больше не принимает новые сообщения об уязвимостях продуктов в рамках своей программы вознаграждений за уязвимости ПО с открытым исходным кодом (OSS VRP). [Действующие правила программы](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) устанавливают дату прекращения приема. Сообщения о цепочке поставок по-прежнему принимаются, а Google заявляет, что приостановка не затрагивает сообщения о продуктах, поданные до 1 октября. Для некоторых репозиториев, поддерживаемых Google Cloud, если уязвимость влияет на продукт Cloud, [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) может продолжать принимать сообщения о продукте.

Приостановка последовала за [изменением правил от 19 марта](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) .Тогда Google сообщил о росте числа созданных ИИ сообщений с неверными условиями срабатывания или незначительным влиянием на безопасность. В [заявлении от 1 октября](https://x.com/GoogleVRP/status/2105689195180179605)Google описала рост *автоматизированных* отправок, подавляющее большинство которых, по ее словам, было недействительным. В октябрьском заявлении не утверждалось, что каждое автоматизированное сообщение было создано ИИ. Google пообещала обновление в первом квартале 2027 года, но не назвала дату возобновления приема.

## Главное изменение

Раньше OSS VRP принимала соответствующие требованиям сообщения об уязвимостях продуктов в подходящих проектах Google с открытым кодом с учетом уровня проекта и требований к доказательствам. С 1 октября канал для новых сообщений о продуктах приостановлен. Канал для цепочки поставок по-прежнему принимает находки, способные поставить под угрозу исходный код или распространяемые сборки; ранее поданные сообщения о продуктах продолжают обрабатываться. Теперь исследователям нужно определить тип находки и ее влияние на продукт, прежде чем выбирать форму. Возможность обратиться в другую программу определяется правилами Google, а не только принадлежностью репозитория компании.

## Сначала определите тип находки и канал

Начните с [правил OSS VRP](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) и проверьте, кому принадлежит затронутый репозиторий и какова его актуальная версия. Google указывает, что программа охватывает последние версии ПО в публичных репозиториях принадлежащих ей организаций GitHub, а также отдельные репозитории на других платформах. Это не означает, что каждый случай дает право на вознаграждение.

| Находка | Доступный сейчас канал по правилам Google |
| --- | --- |
| Новая уязвимость продукта в Google OSS, например дефект в ПО, используемом зависимым продуктом | Во время приостановки не подавайте ее как новое сообщение о продукте в OSS VRP. Проверьте, соответствует ли доказанное влияние собственным правилам другой программы. |
| Уязвимость, способная нарушить целостность исходного кода Google OSS или распространяемых артефактов сборки | Проверьте критерии OSS VRP для цепочки поставок, затем используйте [форму сообщения об уязвимости](https://bughunters.google.com/report) Google, выбрав OSS VRP и указав URL репозитория. Этот канал остается открытым. |
| Уязвимость продукта, о которой сообщили до 1 октября | Продолжайте работу по существующему сообщению. Google заявляет, что приостановка не затрагивает незакрытые обращения. |
| Репозиторий Google Cloud, проблема в котором влияет на продукт или сервис Google Cloud | Проверьте [правила Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules), включая уровень затронутого продукта. Google говорит, что некоторые такие сообщения могут быть приняты; одного расположения репозитория недостаточно. |
| Проблема в AI-продукте Google или Alphabet, где LLM или другая генеративная система ИИ является неотъемлемой частью проблемы | Проверьте [правила AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) .Использование ИИ для поиска обычного дефекта кода само по себе не делает его случаем для AI VRP. |
| Предлагаемое улучшение безопасности или исправление | Проверьте отдельные [правила программы Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) для подходящих проектов и изменений. Это программа для исправлений, а не альтернативный канал для того же сообщения об уязвимости, прием которого приостановлен. |

В [правилах OSS](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) Google по-прежнему содержатся прежние критерии приема уязвимостей продуктов, включая воспроизведение с помощью OSS-Fuzz или объединенный патч для некоторых случаев повреждения памяти. Эти положения описывают требования к такому типу сообщения, но находятся ниже нового октябрьского ограничения. Они не позволяют подать новое сообщение об уязвимости продукта в OSS VRP во время приостановки.

## Что нужно для сообщения OSS, которое еще принимается

Для находки в цепочке поставок правила Google требуют показать эксплуатируемый путь к изменению исходного кода Google OSS, артефактов сборки или распространяемых пакетов. Сценарий, который работает только после одобрения сопровождающим внешнего запроса на изменение, считается риском со стороны инсайдера и может получить признание, но не вознаграждение за уязвимость цепочки поставок. Среди соответствующих областей Google называет конфигурацию репозиториев и сборки, инфраструктуру выпуска и учетные данные публикации. Это описание области действия, а не разрешение проверять чужую инфраструктуру.

Руководство основано на документации программ Google, проверенной 5 октября 2026 года. BIG CHANGE не тестировала уязвимости и не отправляла сообщений. Перед подачей подготовьте материалы, перечисленные в [инструкциях по сообщению](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) :

1. URL репозитория, затронутую версию ПО и недавнюю сборку или конфигурацию, к которым относится находка.
2. Краткое описание дефекта, условий его срабатывания и влияния на безопасность. Опишите сценарий атаки, не считая предупреждение в коде само по себе доказательством эксплуатируемой уязвимости.
3. Инструкции по воспроизведению и, если возможно, собираемый пример эксплуатации. Приложите соответствующий вывод или дамп сбоя, если они есть. Отделите наблюдаемый результат от предполагаемого влияния.
4. Подходящую программу и место подачи. Для сообщения о цепочке поставок OSS выберите OSS VRP в разделе Bug Location формы уязвимости и укажите URL репозитория. Для Cloud или AI следуйте собственным правилам охвата и инструкциям формы.

Google рекомендует по возможности тестировать локально, не мешать другим пользователям и не запускать автоматические тесты, создающие значительный трафик. Его [правила Cloud](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) запрещают тестировать ресурсы, принадлежащие клиентам. [Правила AI](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) требуют, чтобы заявитель проверил проблему и простыми словами объяснил угрозу, входящую в область программы. Эти ограничения так же важны, как и качество отчета.

Страницы программ открыты и указывают, что подача сообщения об уязвимости бесплатна. На практике нужны конкретная находка, подходящая цель и сообщение, соответствующее правилам выбранной программы. Вознаграждение назначается по усмотрению программы и зависит от нее, уровня проекта и влияния. В актуальной таблице OSS больше нет вознаграждений за новые уязвимости продуктов; диапазоны для уязвимостей цепочки поставок на подходящих уровнях остаются. Ни подача, ни хорошо оформленное сообщение не гарантируют выплату.

## Почему Google изменила порядок приема сообщений

В мартовской публикации Google писала, что исследования с помощью ИИ полезны, если исследователи проверяют результаты. По словам компании, некоторые сообщения выдумывали условие срабатывания или указывали на ошибку программирования, не показывая достижимого и значимого влияния на безопасность. В апрельском обновлении компания отменила вознаграждения или признание за уязвимости продуктов и другие проблемы безопасности в проектах низших уровней OT2 и OT3. Октябрьская приостановка распространяется дальше — на *новые* сообщения о продуктах OSS VRP на всех уровнях проектов. О приостановке также сообщила [TechCrunch](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) .Публичные заявления Google подтверждают изменение правил и указанную компанией причину, но не содержат числа подач или независимой оценки того, сколько недействительных сообщений использовали ИИ.

Сейчас исследователю нужно классифицировать находку по действующим правилам, доказать реальное последствие для безопасности и использовать только доступный на данный момент канал. Google заявляет, что обновит путь для сообщений о продуктах в первом квартале 2027 года; до тех пор новые сообщения о продуктах OSS VRP подпадают под октябрьское ограничение.

## Источники и дополнительная литература

- [Правила Google OSS VRP](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules); актуальные правила проверены 5 октября 2026 года. В них указаны дата ограничения 1 октября, продолжающий действовать охват цепочки поставок, требования к сообщениям и ограничения вознаграждений.
- [Обновление правил Google от 19 марта 2026 года](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)и апрельское обновление. Документируют прежние конкретные наблюдения Google, связанные с ИИ, и изменения уровней проектов.
- [Заявление Google VRP от 1 октября 2026 года](https://x.com/GoogleVRP/status/2105689195180179605) .Прямой пост в X не удалось получить в нашей исследовательской среде; его текст и идентификатор нашли в [сторонней копии](https://twstalker.com/GoogleVRP/status/2105689195180179605) а область действия сверили с действующими правилами Google.
- [Правила Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) , [AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) и [Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) ; проверены 5 октября 2026 года. У каждой программы свои условия участия и подачи сообщений.

## Sources

- [Google Bug Hunters: Оптимизация OSS VRP Google: основные обновления правил](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) — Google описала рост числа сообщений, созданных ИИ, объяснила необходимость более убедительных доказательств влияния на безопасность, а в апреле обновила вознаграждения по уровням проектов. Октябрьская приостановка указана в действующих правилах OSS VRP.
- [Google Bug Hunters: правила OSS VRP](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) — Проверены 5 октября 2026 года. Действующие правила Google устанавливают приостановку новых сообщений о продуктах с 1 октября, сохраняют канал для цепочки поставок и описывают требования к сообщениям и вознаграждениям.
- [Заявление Google VRP (@GoogleVRP) от 1 октября 2026 года](https://x.com/GoogleVRP/status/2105689195180179605) — В заявлении от 1 октября говорилось о росте недействительных автоматизированных подач. Прямой пост X получить не удалось; сторонняя копия содержит его текст и идентификатор. Опубликованные правила OSS отдельно подтверждают область приостановки.
- [Публичная копия правил Google Bug Hunters OSS VRP на GitHub](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) — Копия Google на GitHub содержит полный актуальный текст правил OSS VRP, включая датированную приостановку продуктовых сообщений и продолжающие действовать критерии цепочки поставок. Проверено 5 октября 2026 года.
- [Правила Google Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) — Уязвимость в репозитории открытого кода, поддерживаемом Google Cloud, может соответствовать условиям, если влияет на продукт или сервис Cloud. Условия участия и уровень вознаграждения определяются правилами Cloud. Проверено 5 октября 2026 года.
- [Правила Google AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) — Программа охватывает отдельные проблемы в AI-продуктах Google и Alphabet, если взаимодействие с генеративной системой ИИ является неотъемлемой частью проблемы. Заявитель должен проверить находку. Проверено 5 октября 2026 года.
- [Правила Google Patch Rewards Program](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) — Эта отдельная программа рассматривает подходящие улучшения безопасности и исправления для допущенных проектов с открытым кодом по собственным правилам проекта и подачи. Проверено 5 октября 2026 года.
- [TechCrunch: Google заморозила программу вознаграждений за ошибки в открытом коде после резкого роста сообщений об ИИ](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) — Материал от 4 октября дает контекст объявления. Точные каналы подачи, описанные здесь, определяются опубликованными правилами Google.
- [Tom's Hardware: Google замораживает программу вознаграждений за ошибки в открытом коде на фоне потока недействительных сообщений об ИИ](https://www.tomshardware.com/tech-industry/artificial-intelligence/google-suspends-part-of-the-oss-vrp-bug-bounty-program-due-to-an-influx-of-invalid-ai-submissions-product-vulnerability-submissions-ended-october-1) — Материал от 3 октября об объявлении. В октябрьском заявлении Google говорится об автоматизированных подачах; мартовская публикация программы отдельно обсуждает сообщения, созданные ИИ.