Google mijenja pravila OSS VRP programa zbog porasta automatizovanih prijava

Izmjena je unesena u pravila programa na Googleovom sajtu Bug Hunters, a tim koji vodi program objavio ju je na mreži X 1. oktobra 2026. Obustavljen je prijem jedne od tri vrste nalaza, a ne cijeli program. Dio medija izmjenu je opisao kao obustavu cijelog programa nagrada, ali takav zaključak ne proizlazi iz pravila programa.

Šta je obustavljeno, a šta se i dalje prima

OSS VRP je Googleov program nagrađivanja istraživača koji otkriju ranjivosti u softveru otvorenog koda koji održava kompanija, među kojima su Go, Angular i Fuchsia. Pravila programa nalaze svrstavaju u tri kategorije: kompromitovanje lanca snabdijevanja softverom, ranjivosti proizvoda i ostale bezbjednosne probleme.

Ranjivosti proizvoda (product vulnerabilities) odnose se na propuste u dizajnu ili implementaciji samog koda koji mogu ugroziti povjerljivost ili integritet korisničkih podataka. Među primjerima koje navode pravila su oštećenje memorije u parserima formata datoteka, propusti u funkcijama za prečišćavanje unosa, pristup putanjama van dozvoljenog direktorijuma (path traversal) i nebezbjedna podrazumijevana podešavanja u dokumentaciji. Google od 1. oktobra 2026. više ne prima prijave koje se odnose na ovu kategoriju.

Prijave koje se odnose na lanac snabdijevanja softverom i dalje se primaju. One obuhvataju načine na koje bi napadač mogao da izmijeni izvorni kod ili paket koji korisnici instaliraju. Pravila kao primjere navode neovlašćeni upis u glavnu granu repozitorijuma, propuste u podešavanju servisa GitHub Actions, otkrivene pristupne podatke za registar paketa i kompromitovane ključeve za potpisivanje. Prema Googleovoj objavi, obustava ne utiče na ove prijave niti na prijave čija je obrada već u toku.

U tabeli nagrada u pravilima programa više nije navedena nagrada za ranjivosti proizvoda ni u jednoj kategoriji projekata. Međutim, na preglednoj stranici programa rasponi nagrada za tu vrstu ranjivosti i dalje su bili navedeni prilikom provjere 5. oktobra 2026.

Razlog koji navodi Google

Google u objavi na mreži X, kao razlog za promjenu navodi znatan porast automatizovanih prijava, od kojih velika većina nije bila valjana. U toj objavi vještačka inteligencija se ne pominje, niti su navedene konkretne brojke. Izmjena je na stranici s pravilima evidentirana bez dodatnog obrazloženja.

Kompanija navodi da će nastaviti da preispituje taj dio programa i da će novo obavještenje objaviti u prvom kvartalu 2027. Ni objava ni pravila, međutim, ne navode da će prijem takvih prijava tada biti ponovo uspostavljen.

Kome se nalazi sada mogu prijaviti

Google istraživače upućuje na druge programe nagrađivanja za ranjivosti, kao i na Patch Rewards, koji nagrađuje bezbjednosna poboljšanja u Googleovim projektima otvorenog koda. Za pojedine repozitorijume platforme Google Cloud, koji utiču na njene proizvode, pravila navode da se prijave ranjivosti proizvoda i dalje mogu podnijeti kroz program Cloud VRP. Za nalaze u projektima otvorenog koda koji su tijesno povezani sa Google Cloudom ili proizvodima zasnovanim na vještačkoj inteligenciji, istraživači se upućuju na Cloud VRP ili AI VRP.

Izmjena se ne odnosi na prijave ranjivosti proizvoda koje su podnesene prije 1. oktobra 2026. Za projekte koji nisu obuhvaćeni nekim drugim programom ostaje Patch Rewards. Taj program, međutim, nagrađuje bezbjednosna poboljšanja, a ne prijave ranjivosti.