Google sætter fejlrapporter for open source på pause efter kraftig stigning i automatiserede indsendelser

Google er midlertidigt stoppet med at modtage rapporter om produktsårbarheder gennem sit Open Source Software Vulnerability Rewards Program (OSS VRP). Ændringen i Googles bug bounty-program følger efter en kraftig stigning i automatiserede indsendelser, hvoraf de fleste ifølge virksomheden er ugyldige.

Pausen omfatter dog kun en del af programmet. Rapporter om forsyningskæden er fortsat berettigede, og Google vil fortsætte med at behandle udestående indsendelser.

Virksomheden siger også, at ændringen ikke påvirker rapporter om produktsårbarheder, der blev indsendt før den 1. oktober 2026.

Ugyldige rapporter fører til gennemgang af programmet

Google tilskriver pausen mængden af automatiserede rapporter, der når virksomhedens sikkerhedsteams. Meddelelsen kommer samtidig med voksende bekymring over AI-genererede sårbarhedsrapporter af lav kvalitet.

Selvom automatiserede værktøjer kan hjælpe forskere med at identificere svagheder, skal deres resultater stadig valideres. En stor mængde ukorrekte rapporter kan derfor øge arbejdsbyrden for de teams, der gennemgår potentielle sikkerhedsproblemer.

Google reviderer nu den del af OSS VRP, der omhandler produktsårbarheder. Virksomheden har forpligtet sig til at komme med en opdatering i første kvartal af 2027, men har ikke annonceret en dato for genåbning.

Rapporter om forsyningskæden forbliver åbne

Google lancerede OSS VRP i august 2022 og tilbød belønninger fra 100 til 31.337 dollars. Programmet lagde vægt på sårbarheder med en betydelig potentiel påvirkning af softwareforsyningskæden.

Omfanget omfattede Google-vedligeholdte projekter som Go, Angular, Bazel, Protocol Buffers og Fuchsia samt kritiske tredjepartsafhængigheder.

Det omfattede også visse svagheder i repositories og konfigurationer, herunder GitHub Actions-workflows og adgangskontroller.

På trods af den nuværende begrænsning fortsætter Google med at modtage OSS VRP-rapporter om forsyningskæden. Meddelelsen betyder derfor ikke, at hele programmet eller Googles bredere indsats inden for sårbarhedsbelønninger lukkes ned.

Forskere kan bruge andre belønningsprogrammer

Forskere har stadig alternative muligheder for kvalificeret sikkerhedsarbejde.

Google Patch Rewards Program modtager kvalificerede sikkerhedsforbedringer til open source-software. Programmet tilbyder betalinger på op til 15.000 dollars for rettelser med stor betydning.

Samtidig kan forskere indsende sårbarheder i Google Clouds open source-repositories gennem Cloud VRP, når disse problemer påvirker Cloud-produkter.

Google opfordrer også forskere til at undersøge kvalificerede problemer gennem virksomhedens øvrige programmer. Indsendelser skal dog opfylde kravene i det relevante program.

Googles bredere bug bounty-initiativ har udbetalt mere end 81,6 millioner dollars til forskere, siden virksomhedens første program for sårbarhedsbelønninger blev lanceret i 2010. Alene i 2025 tildelte Google 17,1 millioner dollars til mere end 700 forskere.

Andre sikkerhedsprogrammer oplever lignende pres

Googles beslutning følger tidligere bekymringer om AI-genererede sikkerhedsrapporter i softwareindustrien.

I januar afsluttede curls vedligeholder projektets HackerOne-bountyprogram efter at have modtaget en overvældende strøm af AI-genererede indsendelser af lav kvalitet.

Intel fjernede også økonomiske belønninger fra sit Intigriti-program i september. Virksomheden har dog ikke forklaret beslutningen, så årsagerne er fortsat uklare.

Separat har Microsoft advaret om, at AI-assisteret opdagelse af sårbarheder kan øge de operationelle krav til sikkerhedsteams.

For Google er den umiddelbare reaktion en målrettet pause, mens virksomheden revurderer, hvordan automatiserede indsendelser skal håndteres. Rapportering om forsyningskæden, eksisterende sager og andre kvalificerede belønningsmuligheder forbliver tilgængelige.