Google временно спря приемането на нови доклади за уязвимости в продукти чрез своята програма за възнаграждаване за уязвимости в софтуер с отворен код (Open Source Software Vulnerability Reward Program – OSS VRP) след значително увеличение на автоматизираните подавания, които в по-голямата си част са невалидни.

Промяната влезе в сила на 1 октомври 2026 г., като от Google заявиха, че ще предоставят актуална информация за програмата през първото тримесечие на 2027 г.

Решението не прекратява изцяло програмата за награди за уязвимости (bug bounty) в проекти с отворен код. Докладите за уязвимости във веригата за доставки остават в обхвата, а Google ще продължи да обработва докладите за продуктови уязвимости, подадени преди 1 октомври.

Някои уязвимости в хранилищата на Google Cloud също могат да продължат да се приемат чрез отделната програма Google Cloud Vulnerability Reward Program. От Google посочиха, че паузата е резултат от „значително нарастване“ на автоматизираните доклади, като огромното мнозинство от тях не преминават успешна валидация.

Генерираните от AI доклади могат да изглеждат технически убедителни, но същевременно да съдържат измислени вектори за експлоатация, неправилни предположения за поведението на изходния код или твърдения, че дадена уязвима функция е достъпна, когато всъщност не е. Това създава огромна тежест при първоначалния анализ (triage) за инженерите по сигурност и поддръжниците на проектите с отворен код.

Компанията вече беше предупредила изследователите за този проблем при предишни актуализации на правилата на OSS VRP. Google идентифицира генерирани от AI доклади, съдържащи некоректни условия за задействане и „халюцинации“ относно начина, по който дадена уязвимост може да бъде експлоатирана.

Програмата също така затегна изискванията за доказателства при определени доклади, особено при грешки с повреда на паметта (memory corruption) в проекти с висок приоритет.

Google спира временно програмата за награди за уязвимости в проекти с отворен код

OSS VRP на Google обхваща най-новите версии на проекти с отворен код, поддържани в публични хранилища, собственост на организации на Google. Тя включва проблеми, засягащи кода, настройките на хранилищата, работните процеси в GitHub Actions, контрола на достъпа, системите за изграждане (build systems), средите за издаване, идентификационните данни за публикуване на пакети и криптографските ключове за подписване.

Категорията с най-висока стойност остава компрометирането на веригата за доставки. Изследователите могат да докладват за слабости, които биха позволили на атакуващ да модифицира изходния код, да манипулира компилираните артефакти, да компрометира пакети, разпространявани чрез регистри, или да злоупотреби с инфраструктурата за изграждане и издаване. Тези доклади трябва да демонстрират реалистичен и приложим вектор на атака, а не само теоретичен риск.

За водещите проекти от ниво OT0 наградите за веригата за доставки могат да варират от $3,133.7 до $31,337. Важните проекти от ниво OT1 могат да получат между $1,337 и $13,337, докато стандартните проекти от ниво OT2 се класират за суми от $500 до $3,133.7.

Google не предлага финансови възнаграждения за хранилища с нисък приоритет от ниво OT3. Размерите на наградите остават обект на преглед от страна на компанията за оценка на въздействието върху сигурността.

Временно спряната категория е конкретно за уязвимости в продукти. Те включват софтуерни слабости като повреда на паметта в синтактични анализатори (parsers) или мрежови имплементации, уязвимости от тип path traversal, сривове в санитайзерите и несигурни настройки по подразбиране, които биха могли значително да засегнат поверителността или целостта на потребителските данни в приложения, изградени с отворен код на Google.

Този ход на Google подчертава нарастващ проблем сред всички програми за разкриване на уязвимости. Генеративният изкуствен интелект може да помага на изследователите да анализират код, да създават материали за концептуално доказателство (proof-of-concept) и да идентифицират подозрителни модели.

Въпреки това докладите все още изискват ръчна валидация, възпроизводими стъпки, реалистичен анализ на въздействието, подробности за засегнатите версии и ясен сценарий за атака.

Изследователите трябва да избягват подаването на констатации, генерирани от AI, без да ги проверят спрямо актуална компилация. Един качествен доклад трябва да включва работещо доказателство за концепция, точни инструкции за възпроизвеждане, данни за срива (crash data), където са налични, доказателство за достъпност на проблема и ясно обяснение на въздействието върху сигурността.

Google насочва изследователите към останалите си VRP програми и своята програма Patch Rewards Program. В същото време компанията реорганизира временно спрения процес по приемане на доклади за продуктови уязвимости в софтуер с отворен код.