AI-translated from English; not yet reviewed by a fluent editor.

# Google обуставља нове пријаве рањивости у производима отвореног кода: где истраживачи још могу да пријаве проблем

> Google је 1. октобра обуставио нове пријаве рањивости у производима кроз OSS VRP. Пријаве ланца снабдевања и већ отворени случајеви се настављају; на неке налазе могу да се примењују засебна правила програма Cloud, AI или Patch Rewards.

By BIG CHANGE Editorial

Published: 2026-10-05T04:59:25.735Z
Updated: 2026-10-05T04:59:25.735Z
Canonical: https://bigchange.ai/blog/google-oss-vrp-product-report-pause-routing-guide

![Conceptual charcoal illustration of two wall-mounted report slots: one shutter is closed, while a plain sheet rests in the other open slot.](https://bigchange.ai/api/media/file/google-oss-vrp-report-routing-hero-v2.png)
AI-generated conceptual editorial illustration by BIG CHANGE.

Од 1. октобра 2026. Google више не прихвата нове пријаве рањивости у производима кроз свој програм награђивања за рањивости софтвера отвореног кода (OSS VRP). [Важећа правила програма](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) јасно одређују датум прекида. Пријаве ланца снабдевања и даље се прихватају, а Google каже да обустава не утиче на пријаве производа поднете пре 1. октобра. За неке репозиторијуме које одржава Google Cloud, када рањивост утиче на Cloud производ, [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) и даље може да прихвати пријаву производа.

Обустава је уследила после Google- [ове измене правила од 19. марта](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) .Google је тада навео да расте број пријава генерисаних вештачком интелигенцијом које садрже погрешне окидаче или занемарљив безбедносни утицај. У [саопштењу од 1. октобра](https://x.com/GoogleVRP/status/2105689195180179605)Google је описао пораст *аутоматизованих* подношења, од којих је, према његовим речима, велика већина била неважећа. Октобарско саопштење није сваку аутоматизовану пријаву означило као генерисану вештачком интелигенцијом. Google је обећао ажурирање у првом кварталу 2027, без датума поновног покретања.

## Велика промена

OSS VRP је раније прихватао квалификоване пријаве рањивости у производима за одговарајуће Google пројекте отвореног кода, у складу са нивоом пројекта и захтевима за доказе. Од 1. октобра обустављен је пут за пријаву нових проблема у производима. Канал за ланац снабдевања и даље прихвата налазе који могу да угрозе изворни код или дистрибуиране верзије, а већ поднете пријаве производа настављају се обрађивати. Истраживачи сада морају да утврде врсту налаза и његов утицај на производ пре избора обрасца. О томе да ли је доступан други програм одлучују Google-ова правила, а не само чињеница да је репозиторијум у Google-овом власништву.

## Одредите канал пре подношења пријаве

Почните од [правила OSS VRP-а](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) и проверите идентитет погођеног репозиторијума и актуелну верзију. Google каже да програм покрива најновије верзије софтвера у јавним репозиторијумима GitHub организација у Google-овом власништву, као и одабране репозиторијуме на другим платформама. Тај опсег не значи да сваки проблем испуњава услове за награду.

| Налаз | Тренутни канал према Google-овим правилима |
| --- | --- |
| Нова рањивост производа у Google OSS-у, попут недостатка у софтверу који користи неки производ | Не подносите је као нову OSS VRP пријаву рањивости производа док обустава траје. Проверите да ли доказани утицај испуњава правила неког другог програма. |
| Слабост која може да угрози интегритет изворног кода Google OSS-а или дистрибуираних артефаката изградње | Проверите критеријуме ланца снабдевања OSS VRP-а, па користите Google-ов [образац за рањивости](https://bughunters.google.com/report) са изабраним OSS VRP-ом и URL-ом репозиторијума. Овај канал је и даље отворен. |
| Налаз о производу пријављен пре 1. октобра | Наставите са постојећом пријавом. Google каже да обустава не утиче на пријаве које су у обради. |
| Репозиторијум који одржава Google Cloud, а проблем утиче на производ или услугу Google Cloud-а | Проверите [правила Cloud VRP-а](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules), укључујући ниво погођеног производа. Google каже да неке такве пријаве могу бити прихваћене у том програму; сама локација репозиторијума није довољна. |
| Проблем у AI производу Google-а или Alphabet-а где је LLM или други генеративни AI систем саставни део проблема | Проверите [правила AI VRP-а](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) .Употреба вештачке интелигенције за откривање уобичајеног програмског недостатка сама по себи не чини тај недостатак случајем за AI VRP. |
| Предложено безбедносно побољшање или закрпа | Проверите засебна правила [Patch Rewards програма](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) за прихватљиве пројекте и измене. То је програм за закрпе, а не алтернативни канал за исту пријаву рањивости чије је подношење обустављено. |

Google- [ова OSS правила](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) и даље садрже раније услове за прихватање рањивости производа, укључујући репродукцију помоћу OSS-Fuzz-а или спојену закрпу за одређене случајеве оштећења меморије. Ти пасуси описују услове за ту врсту пријаве, али се налазе испод новог октобарског датума прекида. Они нису начин за подношење нове OSS VRP пријаве производа док обустава траје.

## Шта треба за OSS пријаву која се и даље прихвата

За налаз у ланцу снабдевања, Google-ова правила траже да истраживачи докажу искористив пут за измену изворног кода Google OSS-а, артефаката изградње или дистрибуираних пакета. Сценарио који функционише тек након што одржавалац одобри спољни захтев за измену третира се као ризик од инсајдера и може бити признат, али не и награђен као рањивост у ланцу снабдевања. Google међу релевантним површинама наводи конфигурацију репозиторијума и изградње, инфраструктуру за објављивање и акредитиве за дистрибуцију. То су описи опсега, а не дозвола за тестирање туђе инфраструктуре.

Овај водич се заснива на Google-овој документацији програма провереној 5. октобра 2026. BIG CHANGE није тестирао рањивост нити поднео пријаву. Пре слања припремите ставке које Google тражи у својим [упутствима за пријављивање](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) :

1. URL репозиторијума, погођену верзију софтвера и недавну верзију изградње или конфигурацију на коју се налаз односи.
2. Кратак опис недостатка, услова потребних за његово активирање и безбедносног утицаја. Објасните сценарио напада без претпоставке да упозорење у коду само по себи доказује искористиву рањивост.
3. Упутства за репродукцију и, када је изводљиво, изворни код доказа концепта који може да се изгради. Укључите релевантан излаз или испис стања при паду ако постоји. Одвојите уочени резултат од закљученог утицаја.
4. Одговарајући програм и место за пријаву. За OSS пријаву у ланцу снабдевања изаберите OSS VRP у кораку Bug Location обрасца за рањивости и наведите URL репозиторијума. За Cloud или AI следите сопствени опсег и упутства обрасца.

Google препоручује локално тестирање кад је могуће, избегавање ометања других корисника и некоришћење аутоматизованих тестова који стварају значајан саобраћај. [Cloud правила](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) забрањују тестирање ресурса у власништву корисника. [AI правила](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) захтевају да пријавилац провери проблем и једноставним језиком објасни претњу која је у опсегу програма. Ове границе су важне колико и квалитет извештаја.

Странице програма су јавне и наводе да се пријава рањивости не наплаћује. Практични предуслови су конкретан налаз, прихватљива мета и пријава која испуњава правила изабраног програма. Награде су дискреционе и разликују се према програму, нивоу пројекта и утицају. Актуелна OSS табела не наводи награде за нове рањивости производа; и даље наводи распоне за рањивости у ланцу снабдевања на прихватљивим нивоима. Ни подношење ни добро састављена пријава не гарантују исплату.

## Зашто је Google променио пријем пријава

Google је у мартовској објави навео да истраживање уз помоћ вештачке интелигенције може бити корисно када истраживачи провере резултате. Рекао је да су неке пријаве измишљале окидач или указивале на грешку у коду без доказа да је могуће доћи до ње и да има значајан безбедносни утицај. Априлско ажурирање уклонило је награде или признање за рањивости производа и друге безбедносне проблеме у пројектима нижег нивоа OT2 и OT3. Октобарска обустава иде даље за *нове* OSS VRP пријаве производа на свим нивоима пројеката. О обустави је известио и [TechCrunch](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) .Јавне изјаве Google-а потврђују промену правила и наведено образложење, али не дају број пријава нити независну процену колико је неважећих пријава користило вештачку интелигенцију.

Непосредни задатак истраживача је да класификује налаз према важећим правилима, докаже стварну безбедносну последицу, па да користи само тренутно прихватљив канал. Google каже да ће ажурирати пут за пријаве производа у првом кварталу 2027; до тада октобарски датум прекида важи за нове OSS VRP пријаве производа.

## Извори и додатна литература

- [Google OSS VRP правила](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules); важећа правила проверена 5. октобра 2026. Наводе датум прекида 1. октобра, опсег ланца снабдевања који остаје отворен, услове пријављивања и ограничења награда.
- [Google-ово ажурирање правила од 19. марта 2026.](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)и априлско ажурирање. Документују ранија Google-ова конкретна запажања о AI пријавама и промене нивоа пројеката.
- [Google VRP саопштење од 1. октобра 2026.](https://x.com/GoogleVRP/status/2105689195180179605) .Директна објава на X-у није била доступна у нашем истраживачком окружењу; текст и ID објаве пронађени су преко [копије треће стране](https://twstalker.com/GoogleVRP/status/2105689195180179605) а опсег је упоређен са актуелним Google-овим правилима програма.
- [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) , [AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) и [Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) правила, проверена 5. октобра 2026. Сваки програм има засебне услове за учешће и пријављивање.

## Sources

- [Google Bug Hunters: Унапређење Google OSS VRP-а: кључна ажурирања правила](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) — Google је описао раст AI генерисаних пријава, објаснио зашто тражи јаче доказе безбедносног утицаја, а затим у априлу изменио награде по нивоу пројекта. Октобарска обустава наведена је у актуелним OSS VRP правилима.
- [Google Bug Hunters: OSS VRP правила](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) — Проверено 5. октобра 2026. Актуелна правила Google-а наводе обуставу нових пријава производа од 1. октобра, канал ланца снабдевања који остаје отворен, упутства за пријављивање и услове награда.
- [Google VRP (@GoogleVRP) саопштење од 1. октобра 2026.](https://x.com/GoogleVRP/status/2105689195180179605) — Google-ово саопштење од 1. октобра навело је раст неважећих аутоматизованих пријава. Директна објава на X-у није могла да се преузме; копија треће стране приказала је текст и ID. Објављена OSS правила посебно потврђују опсег обуставе.
- [Јавна GitHub копија Google Bug Hunters OSS VRP правила](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) — Google-ова копија на GitHub-у садржи потпуна актуелна OSS VRP правила, укључујући обуставу пријава производа са датумом и критеријуме ланца снабдевања који остају на снази. Проверено 5. октобра 2026.
- [Google Cloud VRP правила](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) — Рањивост у репозиторијуму отвореног кода који одржава Google Cloud може бити прихватљива ако утиче на Cloud производ или услугу. Прихватљивост и ниво награде зависе од сопствених правила Cloud програма. Проверено 5. октобра 2026.
- [Google AI VRP правила](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) — Програм обухвата одређене проблеме у Google и Alphabet AI производима када је интеракција са генеративним AI системом саставни део проблема. Захтева да пријавилац провери проблем. Проверено 5. октобра 2026.
- [Google Patch Rewards Program правила](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) — Овај засебан програм разматра прихватљива безбедносна побољшања и закрпе за одговарајуће пројекте отвореног кода према сопственим правилима за пројекте и пријаве. Проверено 5. октобра 2026.
- [TechCrunch: Google замрзава програм награда за грешке у отвореном коду после великог раста AI пријава](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) — Извештај од 4. октобра пружа контекст објави. Јавна правила Google програма одређују конкретне канале за пријављивање описане овде.
- [Tom's Hardware: Google замрзава програм награда за грешке у отвореном коду усред таласа неважећих AI пријава](https://www.tomshardware.com/tech-industry/artificial-intelligence/google-suspends-part-of-the-oss-vrp-bug-bounty-program-due-to-an-influx-of-invalid-ai-submissions-product-vulnerability-submissions-ended-october-1) — Извештај о објави од 3. октобра. Google-ово октобарско саопштење говори о аутоматизованим пријавама; мартовска објава програма посебно разматра пријаве генерисане AI-јем.