شرکت گوگل برنامه پاداش آسیب‌پذیری نرم‌افزارهای متن‌باز (OSS VRP) خود را که هدف آن پرداخت پاداش به پژوهشگران برای یافتن نقاط ضعف در پروژه‌های Open Source این شرکت بود، به حالت تعلیق درآورد. این تصمیم از تاریخ اول اکتبر ۲۰۲۶ اجرایی شده است.
علت توقف برنامه: هجوم گزارشات خودکار
گوگل دلیل این تصمیم را «افزایش چشمگیر» گزارش‌های خودکار و تولید شده توسط هوش مصنوعی (AI-generated reports) عنوان کرده است. طبق اعلام این شرکت، اکثریت قریب به اتفاق این گزارش‌ها نامعتبر بوده و بسیاری از آن‌ها حاوی توهمات (Hallucinations) مدل‌های زبانی بوده‌اند که باعث ایجاد فشار کاری شدید بر مهندسان گوگل و نگهدارندگان پروژه‌های متن‌باز شده بود.
جایگزین‌ها و مسیرهای گزارش‌دهی
گوگل اعلام کرد که تا سه ماهه اول سال ۲۰۲۷ به‌روزرسانی‌های جدیدی در این زمینه ارائه خواهد داد. در این فاصله، پژوهشگران می‌توانند از مسیرهای جایگزین استفاده کنند:
- Cloud VRP: برای گزارش آسیب‌پذیری‌هایی که مخازن Google Cloud و محصولات ابری را تحت تأثیر قرار می‌دهند.
- AI VRP: برای گزارش نقاط ضعف در پروژه‌های متن‌باز مرتبط با محصولات هوش مصنوعی.
- Patch Rewards Program: برای دریافت پاداش در ازای ارائه بهبودهای امنیتی و اصلاح کد در پروژه‌های متن‌باز گوگل.
ساختار پاداش‌ها و دسته‌بندی پروژه‌ها
در این برنامه، مخازن کد به چهار سطح (Tier) تقسیم شده بودند تا میزان پاداش بر اساس حساسیت تعیین شود:
- سطح Flagship (OT0): حساس‌ترین پروژه‌ها با بالاترین میزان پرداخت.
- سطح Important (OT1): پروژه‌هایی با تأثیر گسترده بر جامعه یا اهمیت امنیتی بالا.
- سطح Standard (OT2): مخازن فعال با بسته‌های پایدار در رجیسترهایی مانند npm یا PyPI.
- سطح Low-priority (OT3): پروژه‌های آزمایشی، نمونه یا آرشیو شده که پاداش مالی ندارند.
پاداش‌ها برای موارد متفاوتی تعریف شده بود؛ برای مثال، شناسایی آسیب‌پذیری‌های زنجیره تأمین (Supply Chain) در سطح OT0 می‌توانست مبالغی بین ۳,۱۳۳ تا ۳۱,۳۳۷ دلار داشته باشد. همچنین مواردی مانند نشت اعتبارنامه‌های دسترسی (Write-access credentials) در سیستم‌های CI شخص ثالث نیز مورد پاداش بودند.
به‌روزرسانی (اکتبر 5, 2026 — infosecurity-magazine.com)
به‌روزرسانی:
گوگل به‌طور رسمی اعلام کرد که تعلیق برنامه پاداش آسیب‌پذیری متن‌باز (OSS VRP) تا سال ۲۰۲۷ ادامه خواهد داشت. این شرکت قصد دارد در سه ماهه اول (Q1) سال ۲۰۲۷، به‌روزرسانی‌های جدیدی را در مورد ساختار مجدد این برنامه ارائه دهد.
بر اساس جزئیات منتشر شده، پاداش‌های این برنامه بسته به سطح شدت آسیب‌پذیری (Severity) و اهمیت پروژه، بین ۱۰۰ تا ۳۱,۳۳۷ دلار متغیر است. با این حال، تا زمان بازگشت برنامه، پژوهشگران امنیتی باید گزارش‌های خود را از طریق برنامه‌های جایگزین مانند Cloud VRP یا AI VRP ارسال کنند.
