Vad Google pausade och vad som är öppet
Google meddelade på X den 1 oktober 2026 att det tillfälligt inte längre tar emot produktsårbarheter till sitt Open Source Software Vulnerability Reward Program. Det angav en enda orsak: en markant ökning av automatiserade inlämningar, där de allra flesta inte är giltiga.
| Område | Status efter 1 oktober |
|---|---|
| Nya OSS VRP-rapporter om produktsårbarheter | Tas inte emot |
| OSS VRP-rapporter om leveranskedjan | Tas fortfarande emot |
| Redan inlämnade rapporter | Påverkas inte |
| Vissa Google Cloud-repon via Cloud VRP | Kan fortfarande tas emot |
| Alternativ som Google nämner | Andra VRP-program och Patch Rewards Program |
| Nästa uppdatering från Google | Första kvartalet 2027 |
Tom's Hardware tillägger att pausen trädde i kraft samma dag som den meddelades och inte rör produktsårbarheter som skickats in före dess. Enligt sajten kan Google fortfarande ta emot produktrapporter via Cloud VRP för vissa Google Cloud-repon som påverkar Google Cloud-produkter.
Google säger att det fortsätter att omforma den här delen av programmet och lovade en uppdatering under första kvartalet 2027. Det är ett löfte om nyheter, inte ett datum för återöppning.
Varför volym slog giltighet
Tom's Hardware beskriver mekanismen. Produktrapporter i OSS VRP gäller kodfel, logikfel och designfel i Googles publika repositorier, arbete som förr var mödosamt och krävde kunskap, tills stora språkmodeller och automatiska jaktskript nästan tog bort kostnaden och mödan att skicka in.
Kostnaden försvann inte, den flyttade till mottagarsidan. Tom's Hardware uppger att Googles ingenjörer och open source-underhållare enligt uppgift översvämmades av tusentals dåligt skrivna rapporter om ogiltiga eller icke utnyttjningsbara fel, och lade tid på att validera kod i stället för att rätta verkliga, kritiska sårbarheter.
Sajten pekar också på liknande fall: Linux-underhållare sade sig vara helt överväldigade av CVE-fynd efter att AI-buggjägare drivit kärnan till rekordhöga 2 000 sårbarheter per version, och Intel pausade ett program som betalade upp till 100 000 dollar per brist. Intel bekräftade inte AI-rapporter som orsak, och enligt Tom's Hardware är det bara experter som misstänker det.
Vad Google inte har sagt
Google angav varken antalet mottagna rapporter eller andelen giltiga. Inlägget säger bara att automatiserade inlämningar ökade markant och att de allra flesta inte är giltiga, och siffran tusentals kommer från Tom's Hardwares rapportering, inte från Google.
Google har inte heller sagt hur det omformade programmet ska se ut. Ett åtagande om en uppdatering under första kvartalet 2027 betyder att forskare som levde på OSS VRP-belöningar, räknat från 1 oktober, är minst tre månader utan det spåret, vår egen uträkning av de två datumen.
De vägar Google nämner är andra belöningsprogram och Patch Rewards Program. Det sade inte om giltiga produktrapporter ska hanteras någon annanstans, och Tom's Hardware nämner bara det snäva undantaget i Cloud VRP.
Vad du kan göra med ditt eget intag
Dela upp intaget efter rapporttyp, som Google gjorde. Det pausade produktrapporter och höll rapporter om leveranskedjan öppna, vilket visar att en flod kan stoppas i ett spår utan att stänga hela programmet.
Lägg bevisbördan på avsändaren. Kräv i mallen en fungerande reproduktion och en angiven påverkan, och stäng rapporter utan dem utan triage. Mät andelen giltiga rapporter och timmarna varje giltig kostar, så att punkten för paus är en siffra du valt i förväg.
Berätta för rapportörerna vad som händer med rapporter som redan står i kön, vart de kan gå i stället och när de får veta mer. Google gjorde alla tre, och ett intag som inte kan validera lika snabbt som det tar emot måste ändå stänga ett spår, så välj själv vilket.
Servola Journal
Vi gör detta för alla som försöker hålla jämna steg med vad tekniken gör med våra liv. Människorna som bygger den, och människorna det händer med. Servola Journal finns så att det vi lär oss tillhör dem alla.
Ingen betalar oss för detta. Inga annonser, ingen betalvägg, gratis för alla. Vi tror helt enkelt att förståelse av vad som händer oss alla inte borde bero på vem som har råd att betala för det.
Om det gav dig något idag, säg till oss att fortsätta. Följ oss, lämna en gilla-markering, eller skriv en positiv kommentar. Vi läser varenda en, och de är det som håller oss igång.
Läs vidare: En anställds AI-inloggning nådde OpenAIs källkod | De bästa AI-hackningsverktygen är nu endast tillgängliga på inbjudan
