AI-translated from English; not yet reviewed by a fluent editor.

# Google暂停新的开源产品漏洞报告：研究人员仍可通过哪些渠道提交

> Google于10月1日暂停OSS VRP新的产品漏洞提交。供应链报告和已受理的案件仍可继续；部分问题可能适用Cloud、AI或Patch Rewards各自的规则。

By BIG CHANGE Editorial

Published: 2026-10-05T04:59:25.735Z
Updated: 2026-10-05T04:59:25.735Z
Canonical: https://bigchange.ai/blog/google-oss-vrp-product-report-pause-routing-guide

![Conceptual charcoal illustration of two wall-mounted report slots: one shutter is closed, while a plain sheet rests in the other open slot.](https://bigchange.ai/api/media/file/google-oss-vrp-report-routing-hero-v2.png)
AI-generated conceptual editorial illustration by BIG CHANGE.

Google自2026年10月1日起，不再接受其开源软件漏洞奖励计划（OSS VRP）中的新产品漏洞报告。 [当前计划规则](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) 明确了截止时间。供应链相关报告仍可提交；Google表示，10月1日前提交的产品报告不受影响。对于某些由Google Cloud维护、且漏洞影响Cloud产品的代码仓库， [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) 仍可能接受产品漏洞报告。

此次暂停发生在Google [3月19日更新规则](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)之后。Google当时称，AI生成的报告数量有所增加，其中包含错误的触发条件或安全影响微不足道的问题。在 [10月1日声明](https://x.com/GoogleVRP/status/2105689195180179605)中，Google称 *自动化* 提交也在增加，而且据其称其中绝大多数无效。10月声明并未将每一份自动化报告都认定为AI生成。Google承诺在2027年第一季度更新，但没有给出恢复日期。

## 重大变化

此前，OSS VRP会根据项目等级和证据要求，接受符合条件的Google开源项目产品漏洞报告。自10月1日起，新产品漏洞报告渠道暂停。供应链渠道仍接受可能危及源代码或分发构建产物的发现，已提交的产品报告也会继续处理。研究人员现在必须先判断发现的类型及其产品影响，再选择报告表单。是否有其他计划可用，应以Google规则为准；仅凭代码仓库归Google所有并不足以判断。

## 提交前先确定漏洞类型和渠道

先查看 [OSS VRP规则](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) ，确认受影响代码仓库的身份和当前版本。Google称，该计划覆盖Google旗下GitHub组织公开代码仓库中的最新软件版本，以及其他平台上的部分指定仓库。这一范围说明并不意味着每个问题都有资格获得奖励。

| 发现类型 | Google规则下目前可用的渠道 |
| --- | --- |
| Google开源软件中的新产品漏洞，例如下游产品所用软件中的缺陷 | 暂停期间不要将其作为新的OSS VRP产品报告提交。检查已证实的影响是否符合其他计划自身规则。 |
| 可能危及Google OSS源代码完整性或分发构建产物的弱点 | 核对OSS VRP供应链标准，然后使用Google的 [漏洞提交表单](https://bughunters.google.com/report) ，选择OSS VRP并填写代码仓库URL。此渠道仍开放。 |
| 10月1日前已提交的产品漏洞 | 继续处理现有报告。Google表示，暂停不影响尚未结案的报告。 |
| 由Google Cloud维护、且影响Google Cloud产品或服务的代码仓库问题 | 查看 [Cloud VRP规则](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules)，包括受影响产品的等级。Google称这类部分报告可能在该计划下受理；代码仓库位于Cloud本身并不足以满足条件。 |
| Google或Alphabet AI产品中的问题，且LLM或其他生成式AI系统是问题不可分割的一部分 | 查看 [AI VRP规则](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules)。用AI发现传统代码漏洞，本身并不会使该漏洞归入AI VRP。 |
| 拟议的安全改进或补丁 | 查看独立的 [Patch Rewards计划规则](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) ，确认项目及改动是否符合条件。这是补丁奖励计划，并非暂停中的同一漏洞报告的替代提交入口。 |

Google的 [OSS规则](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) 仍保留较早的产品漏洞受理标准，例如某些内存损坏问题需要由OSS-Fuzz复现，或已经合入补丁。这些段落说明该类报告的要求，但位于新的10月截止规则之后。暂停期间，它们不能作为提交新OSS VRP产品漏洞报告的办法。

## 仍可提交的OSS报告需要什么

对于供应链问题，Google要求研究人员证明存在可利用的路径，能够修改Google OSS源代码、构建产物或分发包。如果某情形只有在维护者批准外部拉取请求后才会发生，则会被视为内部人员风险，可能获得致谢而非供应链漏洞奖励。Google列出的相关攻击面包括代码仓库与构建配置、发布基础设施和分发凭据。这些范围说明不代表可以测试他人所有的基础设施。

本指南依据截至2026年10月5日核对的Google计划文档。BIG CHANGE没有测试漏洞，也没有提交报告。提交前，请准备Google在 [报告说明](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules)中要求的材料：

1. 代码仓库URL、受影响的软件版本，以及漏洞所适用的近期构建版本或配置。
2. 简明说明缺陷、触发所需条件及安全影响。描述攻击场景时，不要仅凭代码警告就假定存在可利用漏洞。
3. 复现步骤，以及在可行时可构建的概念验证。如有相关输出或崩溃转储，请一并提供。分别说明实际观察到的结果和推断出的影响。
4. 选择适当的计划和报告入口。提交OSS供应链报告时，在漏洞表单的Bug Location步骤选择OSS VRP，并填写代码仓库URL。Cloud或AI问题应遵循相应计划的范围和表单说明。

Google建议尽可能在本地测试，避免影响其他用户，也不要开展会产生大量流量的自动化测试。其 [Cloud规则](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) 禁止测试客户拥有的资源。 [AI规则](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) 要求报告者核实问题，并用通俗语言说明符合范围的威胁。这些边界与报告质量同样重要。

计划页面公开可见，并说明提交漏洞报告不收费。实际前提是有明确发现、符合条件的目标，以及符合所选计划规则的报告。奖励由计划酌情决定，并因计划、项目等级和影响而异。当前OSS奖励表不再列出新的产品漏洞奖励；符合等级的供应链漏洞仍有奖励范围。提交报告或写得规范，都不保证获得付款。

## Google为何调整报告入口

Google在3月的帖子称，研究人员验证AI输出后，AI辅助研究可以发挥作用。它表示，部分提交内容虚构了触发条件，或只发现了编码错误，却未证明存在可触达且有实质意义的安全影响。4月更新取消了较低等级OT2和OT3项目中的产品漏洞及其他安全问题奖励或积分。10月暂停进一步扩大至所有项目等级的 *新* OSS VRP产品报告。 [TechCrunch](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) 也报道了此次暂停。Google的公开声明说明了规则变更及其给出的理由，但没有披露提交数量，也没有独立统计无效报告中有多少使用了AI。

研究人员眼下应根据现行规则对发现分类，证明真实的安全后果，然后只使用当前符合条件的入口。Google称将在2027年第一季度更新产品报告渠道；在此之前，10月截止规则适用于新的OSS VRP产品报告。

## 来源与延伸阅读

- [Google OSS VRP规则](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules)；截至2026年10月5日核对的现行规则。规则说明了10月1日截止时间、仍开放的供应链范围、报告要求和奖励限制。
- [Google 2026年3月19日规则更新](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)及4月更新。这些材料记录了Google此前对AI相关报告的具体观察以及项目等级调整。
- [Google VRP 2026年10月1日声明](https://x.com/GoogleVRP/status/2105689195180179605)。我们的研究环境无法访问X上的原帖；通过 [第三方镜像](https://twstalker.com/GoogleVRP/status/2105689195180179605) 找到其文本和帖子编号，并与Google现行计划规则核对了适用范围。
- [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules)、 [AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) 和 [Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) 规则；截至2026年10月5日核对。每个计划都有各自的资格标准和报告要求。

## Sources

- [Google Bug Hunters：简化Google OSS VRP：关键规则更新](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) — Google称AI生成报告有所增加，并解释为何要求更有力的安全影响证据；4月又调整了项目等级奖励。10月暂停已写入现行OSS VRP规则。
- [Google Bug Hunters：OSS VRP规则](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) — 截至2026年10月5日核对。Google现行规则说明了10月1日起暂停产品漏洞新报告、供应链渠道继续开放、报告说明和奖励条件。
- [Google VRP（@GoogleVRP）2026年10月1日声明](https://x.com/GoogleVRP/status/2105689195180179605) — Google 10月1日的声明称无效自动化提交有所增加。我们无法获取X原帖；第三方镜像显示了其文本和帖子编号。Google已发布的OSS规则另行确认了暂停的适用范围。
- [Google公开GitHub镜像：OSS VRP规则](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) — Google的GitHub副本提供了完整的现行OSS VRP规则，包括注明日期的产品报告暂停和仍开放的供应链标准。核对日期：2026年10月5日。
- [Google Cloud VRP规则](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) — 如果开源代码仓库由Google Cloud维护，且漏洞影响Cloud产品或服务，该问题可能符合资格。是否符合及奖励等级取决于Cloud计划自身规则。核对日期：2026年10月5日。
- [Google AI VRP规则](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) — 当生成式AI系统的交互是问题不可分割的一部分时，该计划涵盖Google和Alphabet AI产品中的特定问题，并要求报告者自行验证。核对日期：2026年10月5日。
- [Google Patch Rewards计划规则](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) — 该独立计划依据自身项目与提交规则，评估符合条件的开源项目安全改进和补丁。核对日期：2026年10月5日。
- [TechCrunch：Google因AI提交数量大幅增加而冻结开源漏洞赏金计划](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) — 10月4日的报道为公告提供背景。本文所述的准确报告渠道以Google已发布的计划规则为准。
- [Tom's Hardware：无效AI提交激增之际，Google冻结开源漏洞赏金计划](https://www.tomshardware.com/tech-industry/artificial-intelligence/google-suspends-part-of-the-oss-vrp-bug-bounty-program-due-to-an-influx-of-invalid-ai-submissions-product-vulnerability-submissions-ended-october-1) — 10月3日对公告的报道。Google的10月声明谈及自动化提交；其3月计划文章则另行讨论了AI生成报告。