Od 1. oktobra 2026. Google više ne prihvata nove prijave ranjivosti u proizvodima kroz svoj program nagrađivanja za ranjivosti softvera otvorenog koda (OSS VRP). Važeća pravila programa jasno određuju datum prekida. Prijave lanca snabdevanja i dalje se prihvataju, a Google kaže da obustava ne utiče na prijave proizvoda podnete pre 1. oktobra. Za neke repozitorijume koje održava Google Cloud, kada ranjivost utiče na Cloud proizvod, Cloud VRP i dalje može da prihvati prijavu proizvoda.
Obustava je usledila posle Google- ove izmene pravila od 19. marta .Google je tada naveo da raste broj prijava generisanih veštačkom inteligencijom koje sadrže pogrešne okidače ili zanemarljiv bezbednosni uticaj. U saopštenju od 1. oktobraGoogle je opisao porast automatizovanih podnošenja, od kojih je, prema njegovim rečima, velika većina bila nevažeća. Oktobarsko saopštenje nije svaku automatizovanu prijavu označilo kao generisanu veštačkom inteligencijom. Google je obećao ažuriranje u prvom kvartalu 2027, bez datuma ponovnog pokretanja.
Velika promena
OSS VRP je ranije prihvatao kvalifikovane prijave ranjivosti u proizvodima za odgovarajuće Google projekte otvorenog koda, u skladu sa nivoom projekta i zahtevima za dokaze. Od 1. oktobra obustavljen je put za prijavu novih problema u proizvodima. Kanal za lanac snabdevanja i dalje prihvata nalaze koji mogu da ugroze izvorni kod ili distribuirane verzije, a već podnete prijave proizvoda nastavljaju se obrađivati. Istraživači sada moraju da utvrde vrstu nalaza i njegov uticaj na proizvod pre izbora obrasca. O tome da li je dostupan drugi program odlučuju Google-ova pravila, a ne samo činjenica da je repozitorijum u Google-ovom vlasništvu.
Odredite kanal pre podnošenja prijave
Počnite od pravila OSS VRP-a i proverite identitet pogođenog repozitorijuma i aktuelnu verziju. Google kaže da program pokriva najnovije verzije softvera u javnim repozitorijumima GitHub organizacija u Google-ovom vlasništvu, kao i odabrane repozitorijume na drugim platformama. Taj opseg ne znači da svaki problem ispunjava uslove za nagradu.
Nalaz | Trenutni kanal prema Google-ovim pravilima |
|---|---|
Nova ranjivost proizvoda u Google OSS-u, poput nedostatka u softveru koji koristi neki proizvod | Ne podnosite je kao novu OSS VRP prijavu ranjivosti proizvoda dok obustava traje. Proverite da li dokazani uticaj ispunjava pravila nekog drugog programa. |
Slabost koja može da ugrozi integritet izvornog koda Google OSS-a ili distribuiranih artefakata izgradnje | Proverite kriterijume lanca snabdevanja OSS VRP-a, pa koristite Google-ov obrazac za ranjivosti sa izabranim OSS VRP-om i URL-om repozitorijuma. Ovaj kanal je i dalje otvoren. |
Nalaz o proizvodu prijavljen pre 1. oktobra | Nastavite sa postojećom prijavom. Google kaže da obustava ne utiče na prijave koje su u obradi. |
Repozitorijum koji održava Google Cloud, a problem utiče na proizvod ili uslugu Google Cloud-a | Proverite pravila Cloud VRP-a, uključujući nivo pogođenog proizvoda. Google kaže da neke takve prijave mogu biti prihvaćene u tom programu; sama lokacija repozitorijuma nije dovoljna. |
Problem u AI proizvodu Google-a ili Alphabet-a gde je LLM ili drugi generativni AI sistem sastavni deo problema | Proverite pravila AI VRP-a .Upotreba veštačke inteligencije za otkrivanje uobičajenog programskog nedostatka sama po sebi ne čini taj nedostatak slučajem za AI VRP. |
Predloženo bezbednosno poboljšanje ili zakrpa | Proverite zasebna pravila Patch Rewards programa za prihvatljive projekte i izmene. To je program za zakrpe, a ne alternativni kanal za istu prijavu ranjivosti čije je podnošenje obustavljeno. |
Google- ova OSS pravila i dalje sadrže ranije uslove za prihvatanje ranjivosti proizvoda, uključujući reprodukciju pomoću OSS-Fuzz-a ili spojenu zakrpu za određene slučajeve oštećenja memorije. Ti pasusi opisuju uslove za tu vrstu prijave, ali se nalaze ispod novog oktobarskog datuma prekida. Oni nisu način za podnošenje nove OSS VRP prijave proizvoda dok obustava traje.
Šta treba za OSS prijavu koja se i dalje prihvata
Za nalaz u lancu snabdevanja, Google-ova pravila traže da istraživači dokažu iskoristiv put za izmenu izvornog koda Google OSS-a, artefakata izgradnje ili distribuiranih paketa. Scenario koji funkcioniše tek nakon što održavalac odobri spoljni zahtev za izmenu tretira se kao rizik od insajdera i može biti priznat, ali ne i nagrađen kao ranjivost u lancu snabdevanja. Google među relevantnim površinama navodi konfiguraciju repozitorijuma i izgradnje, infrastrukturu za objavljivanje i akreditive za distribuciju. To su opisi opsega, a ne dozvola za testiranje tuđe infrastrukture.
Ovaj vodič se zasniva na Google-ovoj dokumentaciji programa proverenoj 5. oktobra 2026. BIG CHANGE nije testirao ranjivost niti podneo prijavu. Pre slanja pripremite stavke koje Google traži u svojim uputstvima za prijavljivanje :
- URL repozitorijuma, pogođenu verziju softvera i nedavnu verziju izgradnje ili konfiguraciju na koju se nalaz odnosi.
- Kratak opis nedostatka, uslova potrebnih za njegovo aktiviranje i bezbednosnog uticaja. Objasnite scenario napada bez pretpostavke da upozorenje u kodu samo po sebi dokazuje iskoristivu ranjivost.
- Uputstva za reprodukciju i, kada je izvodljivo, izvorni kod dokaza koncepta koji može da se izgradi. Uključite relevantan izlaz ili ispis stanja pri padu ako postoji. Odvojite uočeni rezultat od zaključenog uticaja.
- Odgovarajući program i mesto za prijavu. Za OSS prijavu u lancu snabdevanja izaberite OSS VRP u koraku Bug Location obrasca za ranjivosti i navedite URL repozitorijuma. Za Cloud ili AI sledite sopstveni opseg i uputstva obrasca.
Google preporučuje lokalno testiranje kad je moguće, izbegavanje ometanja drugih korisnika i nekorišćenje automatizovanih testova koji stvaraju značajan saobraćaj. Cloud pravila zabranjuju testiranje resursa u vlasništvu korisnika. AI pravila zahtevaju da prijavilac proveri problem i jednostavnim jezikom objasni pretnju koja je u opsegu programa. Ove granice su važne koliko i kvalitet izveštaja.
Stranice programa su javne i navode da se prijava ranjivosti ne naplaćuje. Praktični preduslovi su konkretan nalaz, prihvatljiva meta i prijava koja ispunjava pravila izabranog programa. Nagrade su diskrecione i razlikuju se prema programu, nivou projekta i uticaju. Aktuelna OSS tabela ne navodi nagrade za nove ranjivosti proizvoda; i dalje navodi raspone za ranjivosti u lancu snabdevanja na prihvatljivim nivoima. Ni podnošenje ni dobro sastavljena prijava ne garantuju isplatu.
Zašto je Google promenio prijem prijava
Google je u martovskoj objavi naveo da istraživanje uz pomoć veštačke inteligencije može biti korisno kada istraživači provere rezultate. Rekao je da su neke prijave izmišljale okidač ili ukazivale na grešku u kodu bez dokaza da je moguće doći do nje i da ima značajan bezbednosni uticaj. Aprilsko ažuriranje uklonilo je nagrade ili priznanje za ranjivosti proizvoda i druge bezbednosne probleme u projektima nižeg nivoa OT2 i OT3. Oktobarska obustava ide dalje za nove OSS VRP prijave proizvoda na svim nivoima projekata. O obustavi je izvestio i TechCrunch .Javne izjave Google-a potvrđuju promenu pravila i navedeno obrazloženje, ali ne daju broj prijava niti nezavisnu procenu koliko je nevažećih prijava koristilo veštačku inteligenciju.
Neposredni zadatak istraživača je da klasifikuje nalaz prema važećim pravilima, dokaže stvarnu bezbednosnu posledicu, pa da koristi samo trenutno prihvatljiv kanal. Google kaže da će ažurirati put za prijave proizvoda u prvom kvartalu 2027; do tada oktobarski datum prekida važi za nove OSS VRP prijave proizvoda.
Izvori i dodatna literatura
- Google OSS VRP pravila; važeća pravila proverena 5. oktobra 2026. Navode datum prekida 1. oktobra, opseg lanca snabdevanja koji ostaje otvoren, uslove prijavljivanja i ograničenja nagrada.
- Google-ovo ažuriranje pravila od 19. marta 2026.i aprilsko ažuriranje. Dokumentuju ranija Google-ova konkretna zapažanja o AI prijavama i promene nivoa projekata.
- Google VRP saopštenje od 1. oktobra 2026. .Direktna objava na X-u nije bila dostupna u našem istraživačkom okruženju; tekst i ID objave pronađeni su preko kopije treće strane a opseg je upoređen sa aktuelnim Google-ovim pravilima programa.
- Cloud VRP , AI VRP i Patch Rewards pravila, proverena 5. oktobra 2026. Svaki program ima zasebne uslove za učešće i prijavljivanje.
