Google dočasne zastavil prijímanie časti hlásení v OSS VRP
Google od 1. októbra 2026 neprijíma nové produktové zraniteľnosti cez OSS VRP. Dôvodom je prílev neplatných automatizovaných hlásení.
Google OSS VRP od 1. októbra 2026 dočasne neprijíma nové hlásenia produktových zraniteľností. Zmena sa týka programu Open Source Software Vulnerability Reward Program, teda systému odmien za bezpečnostné chyby v dotknutých open-source projektoch Google. Firma ako dôvod uviedla výrazný nárast automatizovaných podaní, z ktorých väčšina nie je platná.
Nejde o úplné ukončenie programu odmien za chyby ani o oznámenie aktívne zneužívanej zraniteľnosti. Google pozastavil iba prijímanie produktových hlásení v OSS VRP. Prípady podané pred 1. októbrom zostávajú v programe a obmedzenie sa nevzťahuje na hlásenia kompromitácie dodávateľského reťazca.
Čo sa v Google OSS VRP mení
Výskumníci momentálne nemôžu cez OSS VRP posielať nové produktové chyby v rozsahu, ktorého sa táto časť programu týka. Google v pravidlách uvádza, že k fungovaniu tejto vetvy programu zverejní aktualizáciu v prvom štvrťroku 2027.
Oznámenie však neurčuje dátum obnovenia prijímania produktových zraniteľností. Prísľub aktualizácie v prvom štvrťroku 2027 preto nemožno chápať ako potvrdenie, že sa kanál vtedy opäť otvorí.
Pre nahlasovanie kompromitácie dodávateľského reťazca platí výnimka. Takéto prípady môže program naďalej prijímať. Produktové hlásenia, ktoré výskumníci odovzdali pred zavedením zmeny, zostávajú v programe.
Automatizované hlásenia zaťažili triáž
Google uviedol, že problémom je veľké množstvo automatizovaných hlásení, pričom väčšina z nich nie je platná. Prílev chybných či nedostatočne podložených podaní tak môže obmedziť kapacitu na spracovanie legitímnych nálezov.
Firma už v marci 2026 upozornila na rast hlásení generovaných AI a pre časť podaní sprísnila požiadavky na dôkazy. Aktuálne vyjadrenie pritom hovorí všeobecne o automatizovaných hláseniach. Google priamo nepotvrdil, že všetky alebo väčšina podaní, ktoré viedli k terajšiemu pozastaveniu, boli vytvorené umelou inteligenciou.
Automatizácia môže zahŕňať rôzne nástroje a postupy, zatiaľ čo marcové oznámenie sa konkrétne zaoberalo nárastom AI-generovaných hlásení. Z dostupných informácií nevyplýva, že by Google opisoval kybernetickú kampaň alebo konkrétny útok na open-source projekty.
Čo majú sledovať bezpečnostní výskumníci
Google má v prvom štvrťroku 2027 oznámiť ďalšie fungovanie dotknutej časti OSS VRP. Dovtedy bude dôležité, či firma zavedie presnejšie požiadavky na reprodukčné kroky, filtre založené na reputácii autora alebo iné kontroly kvality hlásení.
Google podľa dostupných informácií zároveň výskumníkov odkazuje aj na ďalšie relevantné programy, vrátane Cloud VRP a Patch Rewards Program. Zatiaľ nie je potvrdené, či a ako sa zmení smerovanie jednotlivých typov hlásení medzi týmito programami.
Pre výskumníkov s novou produktovou zraniteľnosťou v dotknutých open-source projektoch je preto podstatné overiť si aktuálne pravidlá konkrétneho programu ešte pred odoslaním podania. Pre prípady súvisiace s dodávateľským reťazcom a pre už odovzdané hlásenia platí, že ich dočasné obmedzenie OSS VRP nezasiahlo.
Zdroje
- Google Bug Hunters — OSS VRP rules – Pravidlá programu uvádzajú zastavenie prijímania produktových zraniteľností od 1. októbra 2026, výnimku pre staršie podania a sľub aktualizácie v 1. štvrťroku 2027.
- Google Bug Hunters — Streamlining Google’s OSS VRP: Key Rule Updates – Google v marci 2026 potvrdil prudký nárast AI-generovaných hlásení a zavedenie prísnejších požiadaviek na dôkazy.
- SecurityWeek – Nezávisle potvrdzuje rozsah dočasnej zmeny, výnimku pre supply-chain hlásenia a vyjadrenie Google o prevažne neplatných automatizovaných podaniach.
- BleepingComputer – Koroboruje, že Google presmerúva výskumníkov na iné VRP programy a Patch Rewards Program.
Overené a aktualizované: 06. 10. 2026 15:22
