Co Google wstrzymał, a co pozostaje otwarte
Google poinformował na X 1 października 2026 roku, że tymczasowo nie przyjmuje zgłoszeń podatności produktowych w programie Open Source Software Vulnerability Reward Program. Podał jeden powód: znaczący wzrost zgłoszeń automatycznych, z których zdecydowana większość jest nieważna.
| Zakres | Stan po 1 października |
|---|---|
| Nowe zgłoszenia podatności produktowych w OSS VRP | Nie są przyjmowane |
| Zgłoszenia dotyczące łańcucha dostaw w OSS VRP | Nadal przyjmowane |
| Zgłoszenia już złożone | Bez zmian |
| Niektóre repozytoria Google Cloud, przez Cloud VRP | Mogą być nadal przyjmowane |
| Alternatywy wskazane przez Google | Inne programy VRP i Patch Rewards Program |
| Kolejna aktualizacja od Google | Pierwszy kwartał 2027 |
Tom's Hardware dodaje, że zawieszenie weszło w życie w dniu ogłoszenia i nie dotyczy podatności produktowych zgłoszonych wcześniej. Według serwisu Google może nadal przyjmować zgłoszenia produktowe przez Cloud VRP dla niektórych repozytoriów Google Cloud, które dotyczą produktów Google Cloud.
Google mówi, że będzie dalej przebudowywał tę część programu, i zobowiązał się do aktualizacji w pierwszym kwartale 2027. To obietnica wieści, nie daty ponownego otwarcia.
Dlaczego ilość pokonała ważność
Tom's Hardware opisuje mechanizm. Zgłoszenia produktowe w OSS VRP dotyczą błędów w kodzie, błędów logicznych i wad projektowych w publicznych repozytoriach Google, pracy, która dawniej była żmudna i wymagała umiejętności, aż duże modele językowe i automatyczne skrypty polowania na błędy niemal zlikwidowały koszt i wysiłek zgłaszania.
Koszt nie zniknął, przeniósł się na stronę odbiorcy. Tom's Hardware podaje, że inżynierowie Google i opiekunowie projektów open source zostali podobno zalani tysiącami źle napisanych zgłoszeń o nieważnych lub niemożliwych do wykorzystania błędach i tracili czas na weryfikację kodu zamiast na naprawianie prawdziwych, krytycznych podatności.
Serwis wskazuje też podobne przypadki: opiekunowie Linuxa mówili, że są całkowicie przytłoczeni znaleziskami CVE po tym, jak łowcy błędów z AI wywindowali jądro do rekordowych 2000 podatności na wydanie, a Intel zawiesił program, który płacił do 100 000 dolarów za lukę. Intel nie potwierdził zgłoszeń z AI jako powodu, a według Tom's Hardware podejrzewają to tylko eksperci.
Czego Google nie powiedział
Google nie podał ani liczby otrzymanych zgłoszeń, ani udziału ważnych. Jego wpis mówi tylko, że zgłoszenia automatyczne wyraźnie wzrosły i że zdecydowana większość jest nieważna, a liczba tysięcy pochodzi z relacji Tom's Hardware, nie od Google.
Google nie powiedział też, jak będzie wyglądał przebudowany program. Zobowiązanie do aktualizacji w pierwszym kwartale 2027 oznacza, że badacze liczący na nagrody z OSS VRP zostają, licząc od 1 października, co najmniej trzy miesiące bez tego toru, nasze wyliczenie z dwóch dat.
Drogi, które wskazuje Google, to inne programy nagród i Patch Rewards Program. Nie powiedział, czy ważne zgłoszenia produktowe będą rozpatrywane gdzie indziej, a Tom's Hardware wspomina tylko wąski wyjątek w Cloud VRP.
Co zrobić z własnym kanałem zgłoszeń
Podziel wpływ zgłoszeń według typu, jak zrobił Google. Wstrzymał zgłoszenia produktowe i zostawił otwarte te o łańcuchu dostaw, co pokazuje, że lawinę można zatrzymać na jednym torze bez zamykania całego programu.
Połóż ciężar dowodu na nadawcy. Wymagaj w szablonie działającej reprodukcji i opisanego wpływu, a zgłoszenia bez nich zamykaj bez triażu. Mierz udział ważnych zgłoszeń i godziny, które kosztuje każde z nich, aby moment wstrzymania był liczbą wybraną z góry.
Powiedz zgłaszającym, co dzieje się ze zgłoszeniami już w kolejce, dokąd mogą pójść zamiast tego i kiedy dowiedzą się więcej. Google zrobił wszystkie trzy rzeczy, a kanał, który nie waliduje tak szybko, jak przyjmuje, i tak będzie musiał zamknąć jeden tor, więc wybierz sam który.
Servola Journal
Robimy to dla wszystkich, którzy starają się nadążyć za tym, co technologia robi z naszym życiem. Dla ludzi, którzy ją budują, i dla ludzi, którym się to przydarza. Servola Journal istnieje, aby to, czego się uczymy, należało do nich wszystkich.
Nikt nam za to nie płaci. Żadnych reklam, żadnego muru płatności, za darmo dla wszystkich. Po prostu wierzymy, że zrozumienie tego, co dzieje się z nami wszystkimi, nie powinno zależeć od tego, kogo stać na zapłacenie za to.
Jeśli to dało ci dziś coś, powiedz nam, żebyśmy kontynuowali. Obserwuj nas, zostaw polubienie, albo napisz pozytywny komentarz. Czytamy każdy jeden, i to oni sprawiają, że działamy dalej.
Czytaj dalej: Logowanie AI pracownika dosięgło kod OpenAI | Najlepsze narzędzia hakerskie oparte na AI są teraz dostępne wyłącznie na zaproszenie
