Google自2026年10月1日起，不再接受其开源软件漏洞奖励计划（OSS VRP）中的新产品漏洞报告。 当前计划规则 明确了截止时间。供应链相关报告仍可提交；Google表示，10月1日前提交的产品报告不受影响。对于某些由Google Cloud维护、且漏洞影响Cloud产品的代码仓库， Cloud VRP 仍可能接受产品漏洞报告。
此次暂停发生在Google 3月19日更新规则之后。Google当时称，AI生成的报告数量有所增加，其中包含错误的触发条件或安全影响微不足道的问题。在 10月1日声明中，Google称 自动化 提交也在增加，而且据其称其中绝大多数无效。10月声明并未将每一份自动化报告都认定为AI生成。Google承诺在2027年第一季度更新，但没有给出恢复日期。
重大变化
此前，OSS VRP会根据项目等级和证据要求，接受符合条件的Google开源项目产品漏洞报告。自10月1日起，新产品漏洞报告渠道暂停。供应链渠道仍接受可能危及源代码或分发构建产物的发现，已提交的产品报告也会继续处理。研究人员现在必须先判断发现的类型及其产品影响，再选择报告表单。是否有其他计划可用，应以Google规则为准；仅凭代码仓库归Google所有并不足以判断。
提交前先确定漏洞类型和渠道
先查看 OSS VRP规则 ，确认受影响代码仓库的身份和当前版本。Google称，该计划覆盖Google旗下GitHub组织公开代码仓库中的最新软件版本，以及其他平台上的部分指定仓库。这一范围说明并不意味着每个问题都有资格获得奖励。
发现类型 | Google规则下目前可用的渠道 |
|---|---|
Google开源软件中的新产品漏洞，例如下游产品所用软件中的缺陷 | 暂停期间不要将其作为新的OSS VRP产品报告提交。检查已证实的影响是否符合其他计划自身规则。 |
可能危及Google OSS源代码完整性或分发构建产物的弱点 | 核对OSS VRP供应链标准，然后使用Google的 漏洞提交表单 ，选择OSS VRP并填写代码仓库URL。此渠道仍开放。 |
10月1日前已提交的产品漏洞 | 继续处理现有报告。Google表示，暂停不影响尚未结案的报告。 |
由Google Cloud维护、且影响Google Cloud产品或服务的代码仓库问题 | 查看 Cloud VRP规则，包括受影响产品的等级。Google称这类部分报告可能在该计划下受理；代码仓库位于Cloud本身并不足以满足条件。 |
Google或Alphabet AI产品中的问题，且LLM或其他生成式AI系统是问题不可分割的一部分 | 查看 AI VRP规则。用AI发现传统代码漏洞，本身并不会使该漏洞归入AI VRP。 |
拟议的安全改进或补丁 | 查看独立的 Patch Rewards计划规则 ，确认项目及改动是否符合条件。这是补丁奖励计划，并非暂停中的同一漏洞报告的替代提交入口。 |
Google的 OSS规则 仍保留较早的产品漏洞受理标准，例如某些内存损坏问题需要由OSS-Fuzz复现，或已经合入补丁。这些段落说明该类报告的要求，但位于新的10月截止规则之后。暂停期间，它们不能作为提交新OSS VRP产品漏洞报告的办法。
仍可提交的OSS报告需要什么
对于供应链问题，Google要求研究人员证明存在可利用的路径，能够修改Google OSS源代码、构建产物或分发包。如果某情形只有在维护者批准外部拉取请求后才会发生，则会被视为内部人员风险，可能获得致谢而非供应链漏洞奖励。Google列出的相关攻击面包括代码仓库与构建配置、发布基础设施和分发凭据。这些范围说明不代表可以测试他人所有的基础设施。
本指南依据截至2026年10月5日核对的Google计划文档。BIG CHANGE没有测试漏洞，也没有提交报告。提交前，请准备Google在 报告说明中要求的材料：
- 代码仓库URL、受影响的软件版本，以及漏洞所适用的近期构建版本或配置。
- 简明说明缺陷、触发所需条件及安全影响。描述攻击场景时，不要仅凭代码警告就假定存在可利用漏洞。
- 复现步骤，以及在可行时可构建的概念验证。如有相关输出或崩溃转储，请一并提供。分别说明实际观察到的结果和推断出的影响。
- 选择适当的计划和报告入口。提交OSS供应链报告时，在漏洞表单的Bug Location步骤选择OSS VRP，并填写代码仓库URL。Cloud或AI问题应遵循相应计划的范围和表单说明。
Google建议尽可能在本地测试，避免影响其他用户，也不要开展会产生大量流量的自动化测试。其 Cloud规则 禁止测试客户拥有的资源。 AI规则 要求报告者核实问题，并用通俗语言说明符合范围的威胁。这些边界与报告质量同样重要。
计划页面公开可见，并说明提交漏洞报告不收费。实际前提是有明确发现、符合条件的目标，以及符合所选计划规则的报告。奖励由计划酌情决定，并因计划、项目等级和影响而异。当前OSS奖励表不再列出新的产品漏洞奖励；符合等级的供应链漏洞仍有奖励范围。提交报告或写得规范，都不保证获得付款。
Google为何调整报告入口
Google在3月的帖子称，研究人员验证AI输出后，AI辅助研究可以发挥作用。它表示，部分提交内容虚构了触发条件，或只发现了编码错误，却未证明存在可触达且有实质意义的安全影响。4月更新取消了较低等级OT2和OT3项目中的产品漏洞及其他安全问题奖励或积分。10月暂停进一步扩大至所有项目等级的 新 OSS VRP产品报告。 TechCrunch 也报道了此次暂停。Google的公开声明说明了规则变更及其给出的理由，但没有披露提交数量，也没有独立统计无效报告中有多少使用了AI。
研究人员眼下应根据现行规则对发现分类，证明真实的安全后果，然后只使用当前符合条件的入口。Google称将在2027年第一季度更新产品报告渠道；在此之前，10月截止规则适用于新的OSS VRP产品报告。
来源与延伸阅读
- Google OSS VRP规则；截至2026年10月5日核对的现行规则。规则说明了10月1日截止时间、仍开放的供应链范围、报告要求和奖励限制。
- Google 2026年3月19日规则更新及4月更新。这些材料记录了Google此前对AI相关报告的具体观察以及项目等级调整。
- Google VRP 2026年10月1日声明。我们的研究环境无法访问X上的原帖；通过 第三方镜像 找到其文本和帖子编号，并与Google现行计划规则核对了适用范围。
- Cloud VRP、 AI VRP 和 Patch Rewards 规则；截至2026年10月5日核对。每个计划都有各自的资格标准和报告要求。
