世界從未停止變化。RSS
BIG CHANGE.
BIG CHANGE，輕觸即達
BIG CHANGE，輕觸即達

拉開視野。

將 BIG CHANGE 加入主畫面或桌面。它會在自己的視窗中開啟，並在您上線時顯示最新報導。

iPhone 與 iPad
在 Safari 中開啟 bigchange.ai。點一下「分享」，再點一下「加入主畫面」。如果顯示「以網頁 App 開啟」，請將其開啟，再點一下「加入」。
Android
在 Chrome 中開啟 bigchange.ai。開啟瀏覽器選單，選擇「安裝應用程式」或「加入主畫面」。
桌面裝置
在 Chrome 或 Edge 中，使用網址列中的安裝圖示或瀏覽器的應用程式選單。在 Mac 上的 Safari 中，選擇「檔案」→「加入 Dock」。

Markdown 版本

AI-translated from English; not yet reviewed by a fluent editor.

# Google 暫停新的開源產品漏洞通報：研究人員仍可在哪些地方回報

> Google 於 10 月 1 日暫停 OSS VRP 新的產品漏洞提交。供應鏈通報與既有案件仍可繼續；部分發現可能符合 Cloud、AI 或 Patch Rewards 各自規則。

By BIG CHANGE Editorial

Published: 2026-10-05T04:59:25.735Z
Updated: 2026-10-05T04:59:25.735Z
Canonical: https://bigchange.ai/blog/google-oss-vrp-product-report-pause-routing-guide

![Conceptual charcoal illustration of two wall-mounted report slots: one shutter is closed, while a plain sheet rests in the other open slot.](https://bigchange.ai/api/media/file/google-oss-vrp-report-routing-hero-v2.png)
AI-generated conceptual editorial illustration by BIG CHANGE.

Google 自 2026 年 10 月 1 日起，停止接受其開源軟體漏洞獎勵計畫（OSS VRP）的新產品漏洞提交。 [目前的計畫規則](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) 明確列出截止日期。供應鏈通報仍可提交；Google 表示，10 月 1 日前提交的產品通報不受影響。對於部分由 Google Cloud 維護、且漏洞影響 Cloud 產品的程式碼儲存庫， [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) 仍可能接受產品漏洞通報。

這項暫停是在 Google [3 月 19 日更新規則](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)之後推出。Google 當時表示，AI 生成的通報增加，其中包含錯誤的觸發條件或安全影響極小的問題。在 [10 月 1 日聲明](https://x.com/GoogleVRP/status/2105689195180179605)中，Google 提到 *自動化* 提交增加，並表示其中絕大多數無效。10 月聲明並未將每一份自動化通報都認定為 AI 生成。Google 承諾於 2027 年第一季更新，但沒有公布重新開放日期。

## 重大變化

過去，OSS VRP 會依專案級別與證據要求，接受符合資格的 Google 開源專案產品漏洞通報。自 10 月 1 日起，新產品漏洞通報管道暫停。供應鏈管道仍接受可能危及原始碼或已發布建置產物的發現；已提交的產品通報則會繼續處理。研究人員現在必須先判定發現類型及其產品影響，再選擇通報表單。是否有其他計畫適用，應依 Google 規則判斷，不能只看儲存庫是否歸 Google 所有。

## 提交前先判斷發現類型與管道

先查看 [OSS VRP 規則](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) ，並確認受影響儲存庫的身分與目前版本。Google 表示，計畫涵蓋 Google 旗下 GitHub 組織公開儲存庫中的最新軟體版本，以及其他平台上的部分指定儲存庫。這項範圍說明不代表每個問題都符合獎勵資格。

| 發現類型 | Google 規則下目前可用的管道 |
| --- | --- |
| Google 開源軟體中的新產品漏洞，例如下游產品所使用軟體的缺陷 | 暫停期間，不要將它作為新的 OSS VRP 產品漏洞通報提交。請檢查已證明的影響是否符合其他計畫自身規則。 |
| 可能危及 Google OSS 原始碼完整性或已發布建置產物的弱點 | 檢查 OSS VRP 供應鏈標準，再使用 Google 的 [漏洞通報表單](https://bughunters.google.com/report) ，選擇 OSS VRP 並填入儲存庫網址。此管道仍開放。 |
| 10 月 1 日前已提交的產品漏洞發現 | 繼續處理既有通報。Google 表示暫停不影響尚未結案的通報。 |
| 由 Google Cloud 維護、且影響 Google Cloud 產品或服務的儲存庫 | 查看 [Cloud VRP 規則](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules)，包括受影響產品的級別。Google 表示，部分此類通報可能會在該計畫下受理；僅憑儲存庫所在地並不足夠。 |
| Google 或 Alphabet AI 產品中的問題，且 LLM 或其他生成式 AI 系統是問題不可或缺的一部分 | 查看 [AI VRP 規則](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules)。使用 AI 找出傳統程式碼漏洞，本身不會讓該漏洞成為 AI VRP 案件。 |
| 提出的安全改善或修補程式 | 查看獨立的 [Patch Rewards 計畫規則](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) ，確認專案與變更是否符合資格。這是修補程式計畫，不是相同暫停漏洞通報的替代提交入口。 |

Google 的 [OSS 規則](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) 仍保留較早的產品漏洞受理標準，包括某些記憶體損毀問題須由 OSS-Fuzz 重現，或已有合併的修補程式。這些段落描述該類通報的要求，但位於新的 10 月截止規則之後。暫停期間，不能以此提交新的 OSS VRP 產品漏洞通報。

## 仍可提交的 OSS 通報需要什麼

對供應鏈發現，Google 規則要求研究人員證明存在可利用的路徑，足以修改 Google OSS 原始碼、建置產物或發行套件。若某情境只有在維護者核准外部拉取要求後才成立，便會視為內部人員風險，可能給予致謝而非供應鏈漏洞獎勵。Google 列出的相關面向包括儲存庫與建置設定、發布基礎設施及發行憑證。這些範圍說明不是測試他人基礎設施的許可。

本指南根據截至 2026 年 10 月 5 日查核的 Google 計畫文件撰寫。BIG CHANGE 未測試任何漏洞，也未提交通報。提交前，請備妥 Google 在 [通報說明](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules)中要求的資料：

1. 儲存庫網址、受影響軟體版本，以及適用於該發現的近期建置版本或設定。
2. 簡潔說明缺陷、觸發條件及其安全影響。描述攻擊情境時，不要只憑程式碼警告就推定漏洞可被利用。
3. 重現步驟，以及可行時可建置的概念驗證。如有相關輸出或當機傾印，也請附上。將觀察到的結果與推論的影響分開說明。
4. 適用計畫與通報位置。提交 OSS 供應鏈通報時，請在漏洞表單的 Bug Location 步驟選擇 OSS VRP，並註明儲存庫網址。Cloud 或 AI 問題則須遵循各自計畫的範圍與表單指示。

Google 建議盡可能在本機測試、避免干擾其他使用者，並避免會產生大量流量的自動化測試。其 [Cloud 規則](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) 禁止測試客戶擁有的資源。 [AI 規則](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) 要求通報者驗證問題，並以淺白文字說明範圍內的威脅。這些界線與報告品質同樣重要。

計畫頁面公開，且說明提交漏洞通報不收費。實際必要條件是有明確發現、符合資格的目標，以及符合所選計畫規則的通報。獎勵由計畫酌情決定，並依計畫、專案級別與影響而異。目前 OSS 獎勵表未列出新的產品漏洞獎勵；符合級別的供應鏈漏洞仍列有獎勵範圍。提交通報或報告寫得完整，都不保證會獲得付款。

## Google 為何調整通報入口

Google 3 月的貼文表示，只要研究人員驗證輸出，AI 輔助研究便有其價值。Google 稱部分提交內容虛構觸發條件，或指出程式碼錯誤，卻沒有證明問題可被觸及且造成實質安全影響。4 月更新取消低級別 OT2 與 OT3 專案的產品漏洞及其他安全問題獎勵或積分。10 月暫停進一步擴大至所有專案級別的 *新* OSS VRP 產品通報。 [TechCrunch](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) 也報導了這項暫停。Google 公開聲明說明規則變更及其所述原因，但未提供提交數量，也沒有獨立衡量無效通報中有多少使用 AI。

研究人員眼前的工作是依現行規則分類發現、證明真實安全後果，並只使用目前符合資格的入口。Google 表示將於 2027 年第一季更新產品通報管道；在此之前，10 月截止規則仍適用於新的 OSS VRP 產品提交。

## 來源與延伸閱讀

- [Google OSS VRP 規則](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules)；現行規則查核於 2026 年 10 月 5 日。內容說明 10 月 1 日截止日期、持續開放的供應鏈範圍、通報要求與獎勵限制。
- [Google 2026 年 3 月 19 日規則更新](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)及 4 月更新。記錄 Google 先前針對 AI 通報的具體觀察和專案級別調整。
- [Google VRP 2026 年 10 月 1 日聲明](https://x.com/GoogleVRP/status/2105689195180179605)。研究環境無法擷取 X 原文；其文字與貼文 ID 透過 [第三方鏡像](https://twstalker.com/GoogleVRP/status/2105689195180179605) 取得，適用範圍則另與 Google 現行計畫規則核對。
- [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules)、 [AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) 與 [Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) 規則，查核於 2026 年 10 月 5 日。各計畫有不同的資格與通報條件。

## Sources

- [Google Bug Hunters：精簡 Google OSS VRP：重要規則更新](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) — Google 說明 AI 生成通報增加，並解釋為何要求更有力的安全影響證據；4 月又更新專案級別獎勵。10 月暫停內容載於現行 OSS VRP 規則。
- [Google Bug Hunters：OSS VRP 規則](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) — 查核於 2026 年 10 月 5 日。Google 現行規則說明 10 月 1 日起暫停產品漏洞新通報、供應鏈管道持續開放、通報要求與獎勵條件。
- [Google VRP（@GoogleVRP）2026 年 10 月 1 日聲明](https://x.com/GoogleVRP/status/2105689195180179605) — Google 10 月 1 日聲明提到無效自動化提交增加。我們無法取得 X 原文；第三方鏡像提供其文字與貼文 ID。Google 公布的 OSS 規則另行確認了暫停範圍。
- [Google Bug Hunters GitHub 上的 OSS VRP 公開鏡像](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) — Google 的 GitHub 副本提供完整現行 OSS VRP 規則，包括註明日期的產品通報暫停及持續適用的供應鏈標準。查核於 2026 年 10 月 5 日。
- [Google Cloud VRP 規則](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) — 若開源儲存庫由 Google Cloud 維護，且漏洞影響 Cloud 產品或服務，便可能符合資格。資格與獎勵級別依 Cloud 計畫自身規則而定。查核於 2026 年 10 月 5 日。
- [Google AI VRP 規則](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) — 若生成式 AI 系統的互動是問題不可或缺的一部分，該計畫涵蓋 Google 與 Alphabet AI 產品中的指定問題，並要求通報者驗證。查核於 2026 年 10 月 5 日。
- [Google Patch Rewards 計畫規則](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) — 此獨立計畫依自身專案與提交規則，評估符合資格的開源專案安全改善與修補程式。查核於 2026 年 10 月 5 日。
- [TechCrunch：AI 提交大幅增加後，Google 凍結開源漏洞獎勵計畫](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) — 10 月 4 日報導提供公告背景。Google 公布的計畫規則確立本文所述的實際通報管道。
- [Tom's Hardware：無效 AI 提交湧入之際，Google 凍結開源漏洞獎勵計畫](https://www.tomshardware.com/tech-industry/artificial-intelligence/google-suspends-part-of-the-oss-vrp-bug-bounty-program-due-to-an-influx-of-invalid-ai-submissions-product-vulnerability-submissions-ended-october-1) — 10 月 3 日對公告的報導。Google 10 月聲明談及自動化提交；3 月的計畫文章則另行討論 AI 生成通報。