Google har midlertidig sluttet å ta imot rapporter om produktsårbarheter gjennom sitt Open Source Software Vulnerability Rewards Program (OSS VRP). Endringen i Googles bug bounty-program kommer etter en kraftig økning i automatiserte innsendinger, som selskapet sier for det meste er ugyldige.
Pausen omfatter imidlertid bare deler av programmet. Rapporter om leverandørkjeden er fortsatt kvalifiserte, og Google vil fortsette å behandle utestående innsendinger.
Selskapet sier også at endringen ikke påvirker rapporter om produktsårbarheter som ble sendt inn før 1. oktober 2026.
Ugyldige rapporter fører til gjennomgang av programmet
Google tilskriver pausen mengden automatiserte rapporter som når sikkerhetsteamene. Kunngjøringen kommer samtidig som bekymringen øker rundt AI-genererte sårbarhetsrapporter av lav kvalitet.
Selv om automatiserte verktøy kan hjelpe forskere med å identifisere svakheter, må funnene fortsatt valideres. Et stort antall feilaktige rapporter kan derfor øke arbeidsmengden for teamene som gjennomgår potensielle sikkerhetsproblemer.
Google reviderer nå den delen av OSS VRP som gjelder produktsårbarheter. Selskapet har forpliktet seg til å gi en oppdatering i første kvartal 2027, men har ikke kunngjort noen dato for gjenåpning.
Rapporter om leverandørkjeden forblir åpne
Google lanserte OSS VRP i august 2022 og tilbød belønninger fra 100 til 31 337 dollar. Programmet la vekt på sårbarheter med betydelig potensiell innvirkning på programvarens leverandørkjede.
Omfanget inkluderte Google-vedlikeholdte prosjekter som Go, Angular, Bazel, Protocol Buffers og Fuchsia, sammen med kritiske tredjepartsavhengigheter.
Det omfattet også enkelte svakheter i kodearkiver og konfigurasjoner, inkludert GitHub Actions-arbeidsflyter og tilgangskontroller.
Til tross for den nåværende begrensningen fortsetter Google å ta imot OSS VRP-rapporter om leverandørkjeden. Kunngjøringen innebærer derfor ikke en nedleggelse av hele programmet eller Googles bredere arbeid med sårbarhetsbelønninger.
Forskere kan bruke andre belønningsprogrammer
Forskere har fortsatt alternative muligheter for kvalifisert sikkerhetsarbeid.
Google Patch Rewards Program tar imot kvalifiserte sikkerhetsforbedringer til programvare med åpen kildekode. Programmet tilbyr betalinger på opptil 15 000 dollar for rettelser med stor innvirkning.
Samtidig kan forskere sende inn sårbarheter i Google Clouds kodearkiver med åpen kildekode gjennom Cloud VRP når disse problemene påvirker Cloud-produkter.
Google oppfordrer også forskere til å undersøke kvalifiserte problemer gjennom selskapets andre programmer. Innsendingene må imidlertid oppfylle kravene til det aktuelle programmet.
Googles bredere bug bounty-initiativ har utbetalt mer enn 81,6 millioner dollar til forskere siden selskapets første program for sårbarhetsbelønninger ble lansert i 2010. Bare i 2025 tildelte Google 17,1 millioner dollar til mer enn 700 forskere.
Andre sikkerhetsprogrammer møter lignende press
Googles beslutning følger tidligere bekymringer rundt AI-genererte sikkerhetsrapporter i programvareindustrien.
I januar avsluttet curls vedlikeholder prosjektets HackerOne-bountyprogram etter å ha mottatt en overveldende strøm av AI-genererte innsendinger av lav kvalitet.
Intel fjernet også økonomiske belønninger fra sitt Intigriti-program i september. Selskapet har imidlertid ikke forklart beslutningen, så årsakene er fortsatt uklare.
Separat har Microsoft advart om at AI-assistert oppdagelse av sårbarheter kan øke de operative kravene til sikkerhetsteam.
For Google er den umiddelbare responsen en målrettet pause mens selskapet vurderer hvordan automatiserte innsendinger skal håndteres. Rapportering om leverandørkjeden, eksisterende saker og andre kvalifiserte belønningsmuligheter forblir tilgjengelige.
0 responses to “Google pauser feilrapporter for åpen kildekode etter kraftig økning i automatiserte innsendinger”