Google pausar felrapporter för öppen källkod efter kraftig ökning av automatiserade inskick

Google har tillfälligt slutat ta emot rapporter om produktsårbarheter genom sitt Open Source Software Vulnerability Rewards Program (OSS VRP). Förändringen i Googles bug bounty-program följer efter en kraftig ökning av automatiserade inskick, varav de flesta enligt företaget är ogiltiga.

Pausen omfattar dock endast en del av programmet. Rapporter om leveranskedjan är fortfarande berättigade, och Google kommer att fortsätta hantera utestående inskick.

Företaget uppger också att förändringen inte påverkar rapporter om produktsårbarheter som skickades in före den 1 oktober 2026.

Ogiltiga rapporter leder till översyn av programmet

Google hänför pausen till mängden automatiserade rapporter som når företagets säkerhetsteam. Beskedet kommer samtidigt som oron växer kring lågkvalitativa, AI-genererade sårbarhetsrapporter.

Även om automatiserade verktyg kan hjälpa forskare att identifiera svagheter behöver deras resultat fortfarande valideras. En stor mängd felaktiga rapporter kan därför öka arbetsbelastningen för team som granskar potentiella säkerhetsproblem.

Google ser nu över den del av OSS VRP som gäller produktsårbarheter. Företaget har lovat att ge en uppdatering under första kvartalet 2027, men har inte meddelat något datum för när rapporteringen öppnar igen.

Rapporter om leveranskedjan förblir öppna

Google lanserade OSS VRP i augusti 2022 och erbjöd belöningar på mellan 100 och 31 337 dollar. Programmet fokuserade på sårbarheter med en betydande potentiell påverkan på mjukvarans leveranskedja.

Omfattningen inkluderade Google-underhållna projekt som Go, Angular, Bazel, Protocol Buffers och Fuchsia, tillsammans med kritiska tredjepartsberoenden.

Det omfattade även vissa svagheter i kodförråd och konfigurationer, inklusive GitHub Actions-arbetsflöden och åtkomstkontroller.

Trots den nuvarande begränsningen fortsätter Google att ta emot OSS VRP-rapporter om leveranskedjan. Beskedet innebär därför inte att hela programmet eller Googles bredare initiativ för sårbarhetsbelöningar stängs ner.

Forskare kan använda andra belöningsprogram

Forskare har fortfarande alternativa vägar för kvalificerat säkerhetsarbete.

Google Patch Rewards Program tar emot kvalificerade säkerhetsförbättringar för programvara med öppen källkod. Programmet erbjuder betalningar på upp till 15 000 dollar för korrigeringar med stor påverkan.

Samtidigt kan forskare rapportera sårbarheter i Google Clouds kodförråd med öppen källkod genom Cloud VRP när dessa problem påverkar Cloud-produkter.

Google uppmuntrar också forskare att undersöka kvalificerade problem inom företagets andra program. Inskicken måste dock uppfylla kraven för respektive program.

Googles bredare bug bounty-initiativ har betalat ut mer än 81,6 miljoner dollar till forskare sedan företagets första program för sårbarhetsbelöningar lanserades 2010. Enbart under 2025 betalade Google ut 17,1 miljoner dollar till fler än 700 forskare.

Andra säkerhetsprogram möter liknande press

Googles beslut följer tidigare farhågor kring AI-genererade säkerhetsrapporter inom mjukvaruindustrin.

I januari avslutade curls ansvarige utvecklare projektets HackerOne-bountyprogram efter att ha fått en överväldigande mängd lågkvalitativa AI-genererade inskick.

Intel tog också bort ekonomiska belöningar från sitt Intigriti-program i september. Företaget har dock inte förklarat beslutet, så orsakerna är fortfarande oklara.

Separat har Microsoft varnat för att AI-assisterad upptäckt av sårbarheter kan öka de operativa kraven på säkerhetsteam.

För Google är den omedelbara åtgärden en riktad paus medan företaget omprövar hur automatiserade inskick ska hanteras. Rapportering om leveranskedjan, befintliga ärenden och andra berättigade belöningsvägar förblir tillgängliga.