Google 自 2026 年 10 月 1 日起，停止接受其開源軟體漏洞獎勵計畫（OSS VRP）的新產品漏洞提交。 目前的計畫規則 明確列出截止日期。供應鏈通報仍可提交；Google 表示，10 月 1 日前提交的產品通報不受影響。對於部分由 Google Cloud 維護、且漏洞影響 Cloud 產品的程式碼儲存庫， Cloud VRP 仍可能接受產品漏洞通報。
這項暫停是在 Google 3 月 19 日更新規則之後推出。Google 當時表示，AI 生成的通報增加，其中包含錯誤的觸發條件或安全影響極小的問題。在 10 月 1 日聲明中，Google 提到 自動化 提交增加，並表示其中絕大多數無效。10 月聲明並未將每一份自動化通報都認定為 AI 生成。Google 承諾於 2027 年第一季更新，但沒有公布重新開放日期。
重大變化
過去，OSS VRP 會依專案級別與證據要求，接受符合資格的 Google 開源專案產品漏洞通報。自 10 月 1 日起，新產品漏洞通報管道暫停。供應鏈管道仍接受可能危及原始碼或已發布建置產物的發現；已提交的產品通報則會繼續處理。研究人員現在必須先判定發現類型及其產品影響，再選擇通報表單。是否有其他計畫適用，應依 Google 規則判斷，不能只看儲存庫是否歸 Google 所有。
提交前先判斷發現類型與管道
先查看 OSS VRP 規則 ，並確認受影響儲存庫的身分與目前版本。Google 表示，計畫涵蓋 Google 旗下 GitHub 組織公開儲存庫中的最新軟體版本，以及其他平台上的部分指定儲存庫。這項範圍說明不代表每個問題都符合獎勵資格。
發現類型 | Google 規則下目前可用的管道 |
|---|---|
Google 開源軟體中的新產品漏洞，例如下游產品所使用軟體的缺陷 | 暫停期間，不要將它作為新的 OSS VRP 產品漏洞通報提交。請檢查已證明的影響是否符合其他計畫自身規則。 |
可能危及 Google OSS 原始碼完整性或已發布建置產物的弱點 | 檢查 OSS VRP 供應鏈標準，再使用 Google 的 漏洞通報表單 ，選擇 OSS VRP 並填入儲存庫網址。此管道仍開放。 |
10 月 1 日前已提交的產品漏洞發現 | 繼續處理既有通報。Google 表示暫停不影響尚未結案的通報。 |
由 Google Cloud 維護、且影響 Google Cloud 產品或服務的儲存庫 | 查看 Cloud VRP 規則，包括受影響產品的級別。Google 表示，部分此類通報可能會在該計畫下受理；僅憑儲存庫所在地並不足夠。 |
Google 或 Alphabet AI 產品中的問題，且 LLM 或其他生成式 AI 系統是問題不可或缺的一部分 | 查看 AI VRP 規則。使用 AI 找出傳統程式碼漏洞，本身不會讓該漏洞成為 AI VRP 案件。 |
提出的安全改善或修補程式 | 查看獨立的 Patch Rewards 計畫規則 ，確認專案與變更是否符合資格。這是修補程式計畫，不是相同暫停漏洞通報的替代提交入口。 |
Google 的 OSS 規則 仍保留較早的產品漏洞受理標準，包括某些記憶體損毀問題須由 OSS-Fuzz 重現，或已有合併的修補程式。這些段落描述該類通報的要求，但位於新的 10 月截止規則之後。暫停期間，不能以此提交新的 OSS VRP 產品漏洞通報。
仍可提交的 OSS 通報需要什麼
對供應鏈發現，Google 規則要求研究人員證明存在可利用的路徑，足以修改 Google OSS 原始碼、建置產物或發行套件。若某情境只有在維護者核准外部拉取要求後才成立，便會視為內部人員風險，可能給予致謝而非供應鏈漏洞獎勵。Google 列出的相關面向包括儲存庫與建置設定、發布基礎設施及發行憑證。這些範圍說明不是測試他人基礎設施的許可。
本指南根據截至 2026 年 10 月 5 日查核的 Google 計畫文件撰寫。BIG CHANGE 未測試任何漏洞，也未提交通報。提交前，請備妥 Google 在 通報說明中要求的資料：
- 儲存庫網址、受影響軟體版本，以及適用於該發現的近期建置版本或設定。
- 簡潔說明缺陷、觸發條件及其安全影響。描述攻擊情境時，不要只憑程式碼警告就推定漏洞可被利用。
- 重現步驟，以及可行時可建置的概念驗證。如有相關輸出或當機傾印，也請附上。將觀察到的結果與推論的影響分開說明。
- 適用計畫與通報位置。提交 OSS 供應鏈通報時，請在漏洞表單的 Bug Location 步驟選擇 OSS VRP，並註明儲存庫網址。Cloud 或 AI 問題則須遵循各自計畫的範圍與表單指示。
Google 建議盡可能在本機測試、避免干擾其他使用者，並避免會產生大量流量的自動化測試。其 Cloud 規則 禁止測試客戶擁有的資源。 AI 規則 要求通報者驗證問題，並以淺白文字說明範圍內的威脅。這些界線與報告品質同樣重要。
計畫頁面公開，且說明提交漏洞通報不收費。實際必要條件是有明確發現、符合資格的目標，以及符合所選計畫規則的通報。獎勵由計畫酌情決定，並依計畫、專案級別與影響而異。目前 OSS 獎勵表未列出新的產品漏洞獎勵；符合級別的供應鏈漏洞仍列有獎勵範圍。提交通報或報告寫得完整，都不保證會獲得付款。
Google 為何調整通報入口
Google 3 月的貼文表示，只要研究人員驗證輸出，AI 輔助研究便有其價值。Google 稱部分提交內容虛構觸發條件，或指出程式碼錯誤，卻沒有證明問題可被觸及且造成實質安全影響。4 月更新取消低級別 OT2 與 OT3 專案的產品漏洞及其他安全問題獎勵或積分。10 月暫停進一步擴大至所有專案級別的 新 OSS VRP 產品通報。 TechCrunch 也報導了這項暫停。Google 公開聲明說明規則變更及其所述原因，但未提供提交數量，也沒有獨立衡量無效通報中有多少使用 AI。
研究人員眼前的工作是依現行規則分類發現、證明真實安全後果，並只使用目前符合資格的入口。Google 表示將於 2027 年第一季更新產品通報管道；在此之前，10 月截止規則仍適用於新的 OSS VRP 產品提交。
來源與延伸閱讀
- Google OSS VRP 規則；現行規則查核於 2026 年 10 月 5 日。內容說明 10 月 1 日截止日期、持續開放的供應鏈範圍、通報要求與獎勵限制。
- Google 2026 年 3 月 19 日規則更新及 4 月更新。記錄 Google 先前針對 AI 通報的具體觀察和專案級別調整。
- Google VRP 2026 年 10 月 1 日聲明。研究環境無法擷取 X 原文；其文字與貼文 ID 透過 第三方鏡像 取得，適用範圍則另與 Google 現行計畫規則核對。
- Cloud VRP、 AI VRP 與 Patch Rewards 規則，查核於 2026 年 10 月 5 日。各計畫有不同的資格與通報條件。
