Google tạm dừng thưởng lỗi sản phẩm trong OSS VRP
"Google temporarily paused acceptance of product vulnerability reports for its Open Source Software Vulnerability Reward Program (OSS VRP) after a surge in automated submissions, most of which were invalid. The pause affects product vulnerabilities in OSS projects such as Go, Angular, and Protocol Buffers, while supply chain compromise reports and other reward channels remain available; Google said it will update the program in Q1 2027."
Ảnh hưởng trực tiếp đến quy trình tiếp nhận lỗ hổng trong OSS VRP; có thể làm chậm việc ghi nhận một số báo cáo sản phẩm nhưng vẫn giữ các kênh cho supply chain compromise và chương trình khác.
Có thể tác động đến quy trình săn lỗi và chi phí thưởng cho các dự án OSS; đồng thời yêu cầu điều chỉnh luồng xử lý báo cáo và phối hợp giữa các nhóm bảo mật, phát triển.
Google đã tạm dừng tiếp nhận báo cáo lỗ hổng sản phẩm trong Open Source Software Vulnerability Reward Program (OSS VRP) từ ngày 1/10/2026, sau khi ghi nhận lượng lớn báo cáo tự động mà phần lớn không hợp lệ. Việc tạm dừng này ảnh hưởng đến các dự án mã nguồn mở như Go, Angular và Protocol Buffers; các báo cáo về supply chain compromise và một số kênh thưởng khác vẫn được duy trì.
Theo quy định mới, các báo cáo về lỗi sản phẩm trong OSS sẽ không còn nhận thưởng ở các dự án thuộc nhóm flagship và important. Trước đó, mức thưởng được công bố là từ 500 USD đến 7.500 USD cho flagship và từ 101 USD đến 3.133,7 USD cho important. Google cho biết sẽ cập nhật chương trình trong quý 1/2027, nhưng chưa nêu thời điểm mở lại việc nhận báo cáo dạng này.
Với đội ngũ nghiên cứu và vận hành, cần rà soát lại kênh tiếp nhận báo cáo cho từng dự án, ưu tiên gửi theo Cloud VRP, Patch Rewards Program hoặc các chương trình liên quan nếu lỗ hổng thuộc phạm vi đó. Các nhóm phát triển cũng nên tăng kiểm tra chất lượng báo cáo, đặc biệt với nội dung do LLM hoặc công cụ tự động tạo ra, để giảm nhiễu và tránh xử lý sai ưu tiên.