Google نے اوپن سورس مصنوعات کی نئی کمزوریوں کی رپورٹیں روک دیں: محققین اب کہاں رپورٹ کر سکتے ہیں

1 اکتوبر 2026 سے Google اپنے اوپن سورس سافٹ ویئر ولنریبیلٹی ریوارڈ پروگرام (OSS VRP) میں مصنوعات کی کمزوریوں کی نئی رپورٹیں قبول نہیں کر رہا۔ پروگرام کے موجودہ قواعد آخری تاریخ واضح کرتے ہیں۔ سپلائی چین کی رپورٹیں اب بھی قبول کی جاتی ہیں، اور Google کے مطابق 1 اکتوبر سے پہلے جمع کرائی گئی مصنوعات کی رپورٹیں متاثر نہیں ہوں گی۔ Google Cloud کے زیر انتظام بعض ریپوزٹریز کی کمزوریاں اگر Cloud مصنوعات کو متاثر کرتی ہوں تو Cloud VRP اب بھی مصنوعات کی رپورٹ قبول کر سکتا ہے۔

یہ پابندی Google کے 19 مارچ کے قواعد کی تازہ کاریکے بعد آئی۔ اس وقت Google نے کہا تھا کہ AI سے تیار کردہ رپورٹیں بڑھ رہی ہیں جن میں غلط محرکات یا نہایت معمولی سکیورٹی اثرات شامل تھے۔ 1 اکتوبر کے بیانمیں Google نے خودکار جمع کرانے کے عمل میں اضافے کا ذکر کیا اور کہا کہ ان میں سے بیشتر غیر معتبر تھیں۔ اکتوبر کے بیان نے ہر خودکار رپورٹ کو AI سے تیار کردہ قرار نہیں دیا۔ Google نے دوبارہ آغاز کی تاریخ بتائے بغیر 2027 کی پہلی سہ ماہی میں تازہ کاری کا وعدہ کیا۔

بڑی تبدیلی

پہلے OSS VRP، منصوبے کے درجے اور ثبوت کی شرائط کے مطابق، Google کے اہل اوپن سورس منصوبوں میں مصنوعات کی کمزوریوں کی رپورٹیں قبول کرتا تھا۔ 1 اکتوبر سے مصنوعات کی نئی رپورٹوں کا راستہ بند ہے۔ سپلائی چین کا راستہ اب بھی ایسے نتائج قبول کرتا ہے جو سورس کوڈ یا تقسیم شدہ بلڈز کو خطرے میں ڈال سکتے ہیں، اور پہلے سے جمع مصنوعات کی رپورٹیں زیرِ کارروائی ہیں۔ محققین کو فارم چننے سے پہلے نتیجے کی نوعیت اور مصنوعات پر اس کے اثرات طے کرنے ہوں گے۔ کسی دوسرے پروگرام کی دستیابی Google کے قواعد طے کرتے ہیں؛ صرف ریپوزٹری کی Google کی ملکیت کافی نہیں۔

رپورٹ کرنے سے پہلے راستہ متعین کریں

سب سے پہلے OSS VRP کے قواعد اور متاثرہ ریپوزٹری کی شناخت اور موجودہ ورژن دیکھیں۔ Google کے مطابق یہ پروگرام Google کی ملکیت والی GitHub تنظیموں کی عوامی ریپوزٹریز میں سافٹ ویئر کے تازہ ترین ورژن اور دیگر پلیٹ فارمز پر کچھ منتخب ریپوزٹریز کا احاطہ کرتا ہے۔ اس دائرے میں ہونا ہر مسئلے کو انعام کا اہل نہیں بناتا۔

Google کے OSS قواعد میں مصنوعات کی کمزوریوں کی قبولیت کے پچھلے معیار اب بھی موجود ہیں، جن میں بعض میموری کرپشن مسائل کے لیے OSS-Fuzz سے دوبارہ پیدا کرنا یا ضم شدہ پیچ شامل ہے۔ یہ پیراگراف اس قسم کی رپورٹ کی شرائط بتاتے ہیں، مگر اکتوبر کی نئی پابندی کے نیچے ہیں۔ پابندی کے دوران یہ OSS VRP میں مصنوعات کی نئی رپورٹ جمع کرانے کا طریقہ نہیں۔

جاری OSS رپورٹ کے لیے کیا درکار ہے

سپلائی چین کے نتیجے کے لیے Google کے قواعد محققین سے ایسا قابلِ استعمال راستہ ثابت کرنے کا تقاضا کرتے ہیں جس سے Google OSS کا سورس کوڈ، بلڈ آرٹیفیکٹس یا تقسیم شدہ پیکیجز تبدیل کیے جا سکیں۔ جو صورت صرف تب ممکن ہو جب منتظم بیرونی تبدیلی کی درخواست منظور کرے، اسے اندرونی فرد کا خطرہ سمجھا جاتا ہے اور سپلائی چین کمزوری کے انعام کے بجائے کریڈٹ مل سکتا ہے۔ Google ریپوزٹری اور بلڈ کی ترتیبات، ریلیز انفراسٹرکچر اور اشاعت کے اسناد کو متعلقہ سطحوں میں شمار کرتا ہے۔ یہ دائرے کی وضاحت ہے، کسی اور کے انفراسٹرکچر کو آزمانے کی اجازت نہیں۔

یہ رہنما 5 اکتوبر 2026 کو دیکھے گئے Google پروگرام دستاویزات پر مبنی ہے۔ BIG CHANGE نے کسی کمزوری کی جانچ یا رپورٹ جمع نہیں کی۔ جمع کرانے سے پہلے Google کی رپورٹنگ ہدایاتمیں مانگی گئی چیزیں تیار کریں:

1. ریپوزٹری کا URL، متاثرہ سافٹ ویئر ورژن اور حالیہ بلڈ یا ترتیب جس پر دریافت لاگو ہوتی ہے۔
2. نقص، اسے فعال کرنے کے لیے درکار شرائط اور سکیورٹی اثر کی مختصر وضاحت۔ حملے کی صورت حال بیان کریں، مگر صرف کوڈ کی وارننگ کو قابلِ استعمال کمزوری کا ثبوت نہ سمجھیں۔
3. دوبارہ پیدا کرنے کی ہدایات اور، جہاں ممکن ہو، قابلِ تعمیر پروف آف کانسیپٹ۔ دستیاب ہو تو متعلقہ آؤٹ پٹ یا کریش ڈمپ شامل کریں۔ دیکھی گئی بات کو اخذ کردہ اثر سے الگ بیان کریں۔
4. مناسب پروگرام اور رپورٹ کی جگہ۔ OSS سپلائی چین رپورٹ کے لیے ولنریبیلٹی فارم کے Bug Location مرحلے میں OSS VRP منتخب کریں اور ریپوزٹری کا URL دیں۔ Cloud یا AI کے لیے متعلقہ پروگرام کے اپنے دائرے اور فارم کی ہدایات پر عمل کریں۔

Google جہاں ممکن ہو مقامی طور پر جانچنے، دوسرے صارفین کو متاثر نہ کرنے اور بہت زیادہ ٹریفک پیدا کرنے والے خودکار ٹیسٹ سے گریز کا مشورہ دیتا ہے۔ اس کے Cloud قواعد صارفین کی ملکیت والے وسائل کی جانچ سے منع کرتے ہیں۔ AI قواعد رپورٹ کرنے والے سے مسئلے کی تصدیق اور دائرے میں آنے والے خطرے کی سادہ زبان میں وضاحت کا تقاضا کرتے ہیں۔ یہ حدود رپورٹ کے معیار جتنی ہی اہم ہیں۔

پروگرام کے صفحات عوامی ہیں اور بتاتے ہیں کہ کمزوری کی رپورٹ جمع کرانے کی کوئی فیس نہیں۔ عملی طور پر ٹھوس دریافت، اہل ہدف اور منتخب پروگرام کے قواعد کے مطابق رپورٹ ضروری ہیں۔ انعام پروگرام کی صوابدید پر ہے اور پروگرام، منصوبے کے درجے اور اثر کے لحاظ سے بدلتا ہے۔ موجودہ OSS انعامی جدول میں مصنوعات کی نئی کمزوریوں کے انعام درج نہیں؛ اہل درجوں میں سپلائی چین کی کمزوریوں کے انعامی دائرے اب بھی موجود ہیں۔ جمع کرانا یا اچھی رپورٹ ادائیگی کی ضمانت نہیں۔

Google نے رپورٹ وصول کرنے کا طریقہ کیوں بدلا

مارچ کی ایک پوسٹ میں Google نے کہا کہ محققین نتائج کی تصدیق کریں تو AI کی مدد سے تحقیق مفید ہو سکتی ہے۔ کمپنی کے مطابق بعض رپورٹوں نے محرک گھڑا یا کوڈنگ کی غلطی بتائی مگر قابلِ رسائی اور بامعنی سکیورٹی اثر نہیں دکھایا۔ اپریل کی تازہ کاری نے کم درجے کے OT2 اور OT3 منصوبوں میں مصنوعات کی کمزوریوں اور دیگر سکیورٹی مسائل کے انعام یا کریڈٹ ختم کر دیے۔ اکتوبر کی پابندی تمام منصوبوں کے درجوں میں نئی OSS VRP مصنوعات کی رپورٹوں تک پھیلتی ہے۔ اس پابندی کی خبر TechCrunch نے بھی دی۔ Google کے عوامی بیانات تبدیلی اور اس کی بیان کردہ وجہ واضح کرتے ہیں، مگر جمع کرائی گئی رپورٹوں کی تعداد یا غیر معتبر رپورٹوں میں AI کے استعمال کا آزادانہ پیمانہ نہیں دیتے۔

محقق کا فوری کام دریافت کو موجودہ قواعد کے مطابق درجہ بند کرنا، حقیقی سکیورٹی نتیجہ ثابت کرنا اور صرف فی الحال اہل راستہ استعمال کرنا ہے۔ Google نے 2027 کی پہلی سہ ماہی میں مصنوعات کی رپورٹ کا راستہ اپ ڈیٹ کرنے کا کہا ہے؛ تب تک نئی OSS VRP مصنوعات کی رپورٹوں پر اکتوبر کی پابندی لاگو ہے۔

ماخذ اور مزید مطالعہ

• Google OSS VRP قواعد؛ موجودہ قواعد 5 اکتوبر 2026 کو دیکھے گئے۔ ان میں 1 اکتوبر کی پابندی، جاری سپلائی چین دائرہ، رپورٹنگ کی شرائط اور انعام کی حدود شامل ہیں۔
• Google کی 19 مارچ 2026 کی قواعدی تازہ کاریاور اپریل کی تازہ کاری۔ ان میں AI سے متعلق سابقہ مخصوص مشاہدات اور منصوبے کے درجوں کی تبدیلیاں درج ہیں۔
• Google VRP کا 1 اکتوبر 2026 کا بیان .ہماری تحقیق کے ماحول میں X کی براہ راست پوسٹ دستیاب نہیں تھی؛ متن اور پوسٹ ID تیسرے فریق کی نقل سے ملے اور دائرہ Google کے موجودہ پروگرام قواعد سے جانچا گیا۔
• Cloud VRP ، AI VRP اور Patch Rewards کے قواعد؛ 5 اکتوبر 2026 کو دیکھے گئے۔ ہر پروگرام کی اہلیت اور رپورٹنگ کی شرائط الگ ہیں۔