Markdown ایڈیشن

AI-translated from English; not yet reviewed by a fluent editor.

# Google نے اوپن سورس مصنوعات کی نئی کمزوریوں کی رپورٹیں روک دیں: محققین اب کہاں رپورٹ کر سکتے ہیں

> Google نے 1 اکتوبر کو OSS VRP میں مصنوعات کی کمزوریوں کی نئی رپورٹیں روک دیں۔ سپلائی چین کی رپورٹیں اور پہلے سے کھلے معاملات جاری ہیں؛ بعض دریافتوں پر Cloud، AI یا Patch Rewards کے الگ قواعد لاگو ہو سکتے ہیں۔

By BIG CHANGE Editorial

Published: 2026-10-05T04:59:25.735Z
Updated: 2026-10-05T04:59:25.735Z
Canonical: https://bigchange.ai/blog/google-oss-vrp-product-report-pause-routing-guide

![Conceptual charcoal illustration of two wall-mounted report slots: one shutter is closed, while a plain sheet rests in the other open slot.](https://bigchange.ai/api/media/file/google-oss-vrp-report-routing-hero-v2.png)
AI-generated conceptual editorial illustration by BIG CHANGE.

1 اکتوبر 2026 سے Google اپنے اوپن سورس سافٹ ویئر ولنریبیلٹی ریوارڈ پروگرام (OSS VRP) میں مصنوعات کی کمزوریوں کی نئی رپورٹیں قبول نہیں کر رہا۔ [پروگرام کے موجودہ قواعد](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) آخری تاریخ واضح کرتے ہیں۔ سپلائی چین کی رپورٹیں اب بھی قبول کی جاتی ہیں، اور Google کے مطابق 1 اکتوبر سے پہلے جمع کرائی گئی مصنوعات کی رپورٹیں متاثر نہیں ہوں گی۔ Google Cloud کے زیر انتظام بعض ریپوزٹریز کی کمزوریاں اگر Cloud مصنوعات کو متاثر کرتی ہوں تو [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) اب بھی مصنوعات کی رپورٹ قبول کر سکتا ہے۔

یہ پابندی Google کے [19 مارچ کے قواعد کی تازہ کاری](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)کے بعد آئی۔ اس وقت Google نے کہا تھا کہ AI سے تیار کردہ رپورٹیں بڑھ رہی ہیں جن میں غلط محرکات یا نہایت معمولی سکیورٹی اثرات شامل تھے۔ [1 اکتوبر کے بیان](https://x.com/GoogleVRP/status/2105689195180179605)میں Google نے *خودکار* جمع کرانے کے عمل میں اضافے کا ذکر کیا اور کہا کہ ان میں سے بیشتر غیر معتبر تھیں۔ اکتوبر کے بیان نے ہر خودکار رپورٹ کو AI سے تیار کردہ قرار نہیں دیا۔ Google نے دوبارہ آغاز کی تاریخ بتائے بغیر 2027 کی پہلی سہ ماہی میں تازہ کاری کا وعدہ کیا۔

## بڑی تبدیلی

پہلے OSS VRP، منصوبے کے درجے اور ثبوت کی شرائط کے مطابق، Google کے اہل اوپن سورس منصوبوں میں مصنوعات کی کمزوریوں کی رپورٹیں قبول کرتا تھا۔ 1 اکتوبر سے مصنوعات کی نئی رپورٹوں کا راستہ بند ہے۔ سپلائی چین کا راستہ اب بھی ایسے نتائج قبول کرتا ہے جو سورس کوڈ یا تقسیم شدہ بلڈز کو خطرے میں ڈال سکتے ہیں، اور پہلے سے جمع مصنوعات کی رپورٹیں زیرِ کارروائی ہیں۔ محققین کو فارم چننے سے پہلے نتیجے کی نوعیت اور مصنوعات پر اس کے اثرات طے کرنے ہوں گے۔ کسی دوسرے پروگرام کی دستیابی Google کے قواعد طے کرتے ہیں؛ صرف ریپوزٹری کی Google کی ملکیت کافی نہیں۔

## رپورٹ کرنے سے پہلے راستہ متعین کریں

سب سے پہلے [OSS VRP کے قواعد](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) اور متاثرہ ریپوزٹری کی شناخت اور موجودہ ورژن دیکھیں۔ Google کے مطابق یہ پروگرام Google کی ملکیت والی GitHub تنظیموں کی عوامی ریپوزٹریز میں سافٹ ویئر کے تازہ ترین ورژن اور دیگر پلیٹ فارمز پر کچھ منتخب ریپوزٹریز کا احاطہ کرتا ہے۔ اس دائرے میں ہونا ہر مسئلے کو انعام کا اہل نہیں بناتا۔

| نتیجہ | Google کے قواعد کے تحت موجودہ راستہ |
| --- | --- |
| Google OSS میں مصنوعات کی نئی کمزوری، مثلاً کسی ذیلی مصنوعات کے زیرِ استعمال سافٹ ویئر میں نقص | پابندی کے دوران اسے OSS VRP کی مصنوعات کی نئی رپورٹ کے طور پر جمع نہ کریں۔ دیکھیں کہ ثابت شدہ اثر کسی دوسرے پروگرام کے اپنے قواعد میں آتا ہے یا نہیں۔ |
| ایسی کمزوری جو Google OSS کے سورس کی سالمیت یا تقسیم شدہ بلڈ آرٹیفیکٹس کو خطرے میں ڈال سکتی ہو | OSS VRP کے سپلائی چین معیار دیکھیں، پھر Google کا [کمزوری رپورٹ فارم](https://bughunters.google.com/report) استعمال کرتے ہوئے OSS VRP منتخب کریں اور ریپوزٹری کا URL دیں۔ یہ راستہ کھلا ہے۔ |
| 1 اکتوبر سے پہلے رپورٹ کی گئی مصنوعات کی کمزوری | موجودہ رپورٹ پر کارروائی جاری رکھیں۔ Google کے مطابق پابندی زیرِ التوا رپورٹوں کو متاثر نہیں کرتی۔ |
| Google Cloud کے زیر انتظام ریپوزٹری کا مسئلہ جو Google Cloud کی کسی مصنوعات یا سروس کو متاثر کرے | متاثرہ مصنوعات کا درجہ بھی دیکھتے ہوئے [Cloud VRP کے قواعد](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules)ملاحظہ کریں۔ Google کے مطابق ایسی بعض رپورٹیں وہاں قبول ہو سکتی ہیں؛ صرف ریپوزٹری کا مقام کافی نہیں۔ |
| Google یا Alphabet کی AI مصنوعات کا ایسا مسئلہ جس میں LLM یا کوئی اور جنریٹو AI نظام مسئلے کا لازمی حصہ ہو | متعلقہ [AI VRP کے قواعد](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules)دیکھیں۔ AI سے روایتی کوڈ کا نقص دریافت کرنے سے وہ خود بخود AI VRP میں شامل نہیں ہو جاتا۔ |
| مجوزہ سکیورٹی بہتری یا پیچ | اہل منصوبوں اور تبدیلیوں کے لیے الگ [Patch Rewards Program کے قواعد](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) دیکھیں۔ یہ پیچ کا پروگرام ہے، پابندی کے شکار اسی کمزوری کے رپورٹ راستے کا متبادل نہیں۔ |

Google کے [OSS قواعد](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) میں مصنوعات کی کمزوریوں کی قبولیت کے پچھلے معیار اب بھی موجود ہیں، جن میں بعض میموری کرپشن مسائل کے لیے OSS-Fuzz سے دوبارہ پیدا کرنا یا ضم شدہ پیچ شامل ہے۔ یہ پیراگراف اس قسم کی رپورٹ کی شرائط بتاتے ہیں، مگر اکتوبر کی نئی پابندی کے نیچے ہیں۔ پابندی کے دوران یہ OSS VRP میں مصنوعات کی نئی رپورٹ جمع کرانے کا طریقہ نہیں۔

## جاری OSS رپورٹ کے لیے کیا درکار ہے

سپلائی چین کے نتیجے کے لیے Google کے قواعد محققین سے ایسا قابلِ استعمال راستہ ثابت کرنے کا تقاضا کرتے ہیں جس سے Google OSS کا سورس کوڈ، بلڈ آرٹیفیکٹس یا تقسیم شدہ پیکیجز تبدیل کیے جا سکیں۔ جو صورت صرف تب ممکن ہو جب منتظم بیرونی تبدیلی کی درخواست منظور کرے، اسے اندرونی فرد کا خطرہ سمجھا جاتا ہے اور سپلائی چین کمزوری کے انعام کے بجائے کریڈٹ مل سکتا ہے۔ Google ریپوزٹری اور بلڈ کی ترتیبات، ریلیز انفراسٹرکچر اور اشاعت کے اسناد کو متعلقہ سطحوں میں شمار کرتا ہے۔ یہ دائرے کی وضاحت ہے، کسی اور کے انفراسٹرکچر کو آزمانے کی اجازت نہیں۔

یہ رہنما 5 اکتوبر 2026 کو دیکھے گئے Google پروگرام دستاویزات پر مبنی ہے۔ BIG CHANGE نے کسی کمزوری کی جانچ یا رپورٹ جمع نہیں کی۔ جمع کرانے سے پہلے Google کی [رپورٹنگ ہدایات](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules)میں مانگی گئی چیزیں تیار کریں:

1. ریپوزٹری کا URL، متاثرہ سافٹ ویئر ورژن اور حالیہ بلڈ یا ترتیب جس پر دریافت لاگو ہوتی ہے۔
2. نقص، اسے فعال کرنے کے لیے درکار شرائط اور سکیورٹی اثر کی مختصر وضاحت۔ حملے کی صورت حال بیان کریں، مگر صرف کوڈ کی وارننگ کو قابلِ استعمال کمزوری کا ثبوت نہ سمجھیں۔
3. دوبارہ پیدا کرنے کی ہدایات اور، جہاں ممکن ہو، قابلِ تعمیر پروف آف کانسیپٹ۔ دستیاب ہو تو متعلقہ آؤٹ پٹ یا کریش ڈمپ شامل کریں۔ دیکھی گئی بات کو اخذ کردہ اثر سے الگ بیان کریں۔
4. مناسب پروگرام اور رپورٹ کی جگہ۔ OSS سپلائی چین رپورٹ کے لیے ولنریبیلٹی فارم کے Bug Location مرحلے میں OSS VRP منتخب کریں اور ریپوزٹری کا URL دیں۔ Cloud یا AI کے لیے متعلقہ پروگرام کے اپنے دائرے اور فارم کی ہدایات پر عمل کریں۔

Google جہاں ممکن ہو مقامی طور پر جانچنے، دوسرے صارفین کو متاثر نہ کرنے اور بہت زیادہ ٹریفک پیدا کرنے والے خودکار ٹیسٹ سے گریز کا مشورہ دیتا ہے۔ اس کے [Cloud قواعد](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) صارفین کی ملکیت والے وسائل کی جانچ سے منع کرتے ہیں۔ [AI قواعد](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) رپورٹ کرنے والے سے مسئلے کی تصدیق اور دائرے میں آنے والے خطرے کی سادہ زبان میں وضاحت کا تقاضا کرتے ہیں۔ یہ حدود رپورٹ کے معیار جتنی ہی اہم ہیں۔

پروگرام کے صفحات عوامی ہیں اور بتاتے ہیں کہ کمزوری کی رپورٹ جمع کرانے کی کوئی فیس نہیں۔ عملی طور پر ٹھوس دریافت، اہل ہدف اور منتخب پروگرام کے قواعد کے مطابق رپورٹ ضروری ہیں۔ انعام پروگرام کی صوابدید پر ہے اور پروگرام، منصوبے کے درجے اور اثر کے لحاظ سے بدلتا ہے۔ موجودہ OSS انعامی جدول میں مصنوعات کی نئی کمزوریوں کے انعام درج نہیں؛ اہل درجوں میں سپلائی چین کی کمزوریوں کے انعامی دائرے اب بھی موجود ہیں۔ جمع کرانا یا اچھی رپورٹ ادائیگی کی ضمانت نہیں۔

## Google نے رپورٹ وصول کرنے کا طریقہ کیوں بدلا

مارچ کی ایک پوسٹ میں Google نے کہا کہ محققین نتائج کی تصدیق کریں تو AI کی مدد سے تحقیق مفید ہو سکتی ہے۔ کمپنی کے مطابق بعض رپورٹوں نے محرک گھڑا یا کوڈنگ کی غلطی بتائی مگر قابلِ رسائی اور بامعنی سکیورٹی اثر نہیں دکھایا۔ اپریل کی تازہ کاری نے کم درجے کے OT2 اور OT3 منصوبوں میں مصنوعات کی کمزوریوں اور دیگر سکیورٹی مسائل کے انعام یا کریڈٹ ختم کر دیے۔ اکتوبر کی پابندی تمام منصوبوں کے درجوں میں *نئی* OSS VRP مصنوعات کی رپورٹوں تک پھیلتی ہے۔ اس پابندی کی خبر [TechCrunch](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) نے بھی دی۔ Google کے عوامی بیانات تبدیلی اور اس کی بیان کردہ وجہ واضح کرتے ہیں، مگر جمع کرائی گئی رپورٹوں کی تعداد یا غیر معتبر رپورٹوں میں AI کے استعمال کا آزادانہ پیمانہ نہیں دیتے۔

محقق کا فوری کام دریافت کو موجودہ قواعد کے مطابق درجہ بند کرنا، حقیقی سکیورٹی نتیجہ ثابت کرنا اور صرف فی الحال اہل راستہ استعمال کرنا ہے۔ Google نے 2027 کی پہلی سہ ماہی میں مصنوعات کی رپورٹ کا راستہ اپ ڈیٹ کرنے کا کہا ہے؛ تب تک نئی OSS VRP مصنوعات کی رپورٹوں پر اکتوبر کی پابندی لاگو ہے۔

## ماخذ اور مزید مطالعہ

- [Google OSS VRP قواعد](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules)؛ موجودہ قواعد 5 اکتوبر 2026 کو دیکھے گئے۔ ان میں 1 اکتوبر کی پابندی، جاری سپلائی چین دائرہ، رپورٹنگ کی شرائط اور انعام کی حدود شامل ہیں۔
- [Google کی 19 مارچ 2026 کی قواعدی تازہ کاری](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)اور اپریل کی تازہ کاری۔ ان میں AI سے متعلق سابقہ مخصوص مشاہدات اور منصوبے کے درجوں کی تبدیلیاں درج ہیں۔
- [Google VRP کا 1 اکتوبر 2026 کا بیان](https://x.com/GoogleVRP/status/2105689195180179605) .ہماری تحقیق کے ماحول میں X کی براہ راست پوسٹ دستیاب نہیں تھی؛ متن اور پوسٹ ID [تیسرے فریق کی نقل](https://twstalker.com/GoogleVRP/status/2105689195180179605) سے ملے اور دائرہ Google کے موجودہ پروگرام قواعد سے جانچا گیا۔
- [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) ، [AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) اور [Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) کے قواعد؛ 5 اکتوبر 2026 کو دیکھے گئے۔ ہر پروگرام کی اہلیت اور رپورٹنگ کی شرائط الگ ہیں۔

## Sources

- [Google Bug Hunters: Google OSS VRP کو آسان بنانا: اہم قواعدی تازہ کاریاں](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) — Google نے AI سے تیار رپورٹوں میں اضافے کی وضاحت کی، سکیورٹی اثر کے مضبوط ثبوت کی ضرورت بتائی اور اپریل میں منصوبے کے درجے کے مطابق انعامات بدلے۔ اکتوبر کی پابندی موجودہ OSS VRP قواعد میں درج ہے۔
- [Google Bug Hunters: OSS VRP قواعد](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) — 5 اکتوبر 2026 کو دیکھے گئے۔ Google کے موجودہ قواعد 1 اکتوبر سے مصنوعات کی نئی رپورٹوں کی پابندی، جاری سپلائی چین راستہ، رپورٹنگ ہدایات اور انعامی شرائط بیان کرتے ہیں۔
- [Google VRP (@GoogleVRP) کا 1 اکتوبر 2026 کا بیان](https://x.com/GoogleVRP/status/2105689195180179605) — 1 اکتوبر کے بیان میں غیر معتبر خودکار رپورٹوں میں اضافے کا ذکر تھا۔ X کی براہ راست پوسٹ حاصل نہیں ہوئی؛ تیسرے فریق کی نقل میں متن اور پوسٹ ID دکھائی دی۔ Google کے شائع شدہ OSS قواعد پابندی کے دائرے کی الگ تصدیق کرتے ہیں۔
- [Google Bug Hunters کے OSS VRP قواعد کی عوامی GitHub نقل](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) — Google کی GitHub نقل میں تاریخ سمیت مصنوعات کی رپورٹوں کی پابندی اور جاری سپلائی چین معیار سمیت موجودہ OSS VRP قواعد مکمل طور پر موجود ہیں۔ 5 اکتوبر 2026 کو دیکھی گئی۔
- [Google Cloud VRP قواعد](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) — Google Cloud کے زیر انتظام اوپن سورس ریپوزٹری کی کمزوری اہل ہو سکتی ہے اگر وہ Cloud کی مصنوعات یا سروس کو متاثر کرے۔ اہلیت اور انعامی درجہ Cloud پروگرام کے اپنے قواعد پر منحصر ہیں۔ 5 اکتوبر 2026 کو دیکھے گئے۔
- [Google AI VRP قواعد](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) — یہ پروگرام Google اور Alphabet کی AI مصنوعات کے مخصوص مسائل کا احاطہ کرتا ہے، جب جنریٹو AI نظام کے ساتھ تعامل مسئلے کا لازمی حصہ ہو۔ رپورٹ کرنے والے کو مسئلے کی تصدیق کرنا ہوتی ہے۔ 5 اکتوبر 2026 کو دیکھے گئے۔
- [Google Patch Rewards Program قواعد](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) — یہ الگ پروگرام اپنے منصوبے اور جمع کرانے کے قواعد کے تحت اہل اوپن سورس منصوبوں کی سکیورٹی بہتریوں اور پیچز کا جائزہ لیتا ہے۔ 5 اکتوبر 2026 کو دیکھے گئے۔
- [TechCrunch: AI رپورٹوں میں نمایاں اضافے کے بعد Google نے اوپن سورس بگ باؤنٹی پروگرام منجمد کر دیا](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) — 4 اکتوبر کی رپورٹ اعلان کا پس منظر دیتی ہے۔ یہاں بیان کردہ درست رپورٹنگ راستے Google کے شائع شدہ پروگرام قواعد طے کرتے ہیں۔
- [Tom's Hardware: غیر معتبر AI رپورٹوں کی بھرمار کے دوران Google نے اوپن سورس بگ باؤنٹی پروگرام منجمد کیا](https://www.tomshardware.com/tech-industry/artificial-intelligence/google-suspends-part-of-the-oss-vrp-bug-bounty-program-due-to-an-influx-of-invalid-ai-submissions-product-vulnerability-submissions-ended-october-1) — 3 اکتوبر کی خبر۔ Google کا اکتوبر بیان خودکار رپورٹوں کے بارے میں ہے؛ مارچ کی پروگرام پوسٹ AI سے تیار رپورٹوں پر الگ بات کرتی ہے۔