Google OSS VRP, Googles Prämienprogramm für verwandte Open-Source-Projekte, nimmt seit dem 1. Oktober 2026 keine neuen Produkt-Schwachstellenberichte mehr an. Die Ankündigung kam auf X vom Konto Google VRP (Google Bug Hunters). Die Pause betrifft keine Supply-Chain-Meldungen und keine bereits laufenden Fälle.
Was ist passiert?
Google erklärte, Google OSS VRP sei vorübergehend für Produkt-Schwachstellen geschlossen. Nach Darstellung des Unternehmens und von Tom's Hardware ist der Grund ein starker Anstieg automatisierter Einreichungen, von denen die meisten ungültig seien. Praktisch erhalten Forscher und Maintainer Berichte aus Sprachmodellen, die technisch wirken, sich aber nicht als echte Fehler bestätigen.
Das Unternehmen verwies auf andere VRP-Programme und stellte ein Update bis zum ersten Quartal 2027 in Aussicht, während dieser Teil neu aufgesetzt wird. Sekundärberichte, etwa Hardware Busters, sagen, dass Einreichungen vor dem 1. Oktober weiter bearbeitet werden und Produktfehler in manchen Google-Cloud-Repositories noch über das Cloud VRP laufen können.
Was weiterhin gilt
- Supply-Chain-Meldungen des Google OSS VRP werden weiter angenommen.
- Bereits offene Fälle wurden nicht gestrichen.
- Die Pause gilt für neue Produkt-Schwachstellen.
- Die nächste offizielle Mitteilung wird im ersten Quartal 2027 erwartet.
Warum das zählt
Bug-Bounty-Programme brauchen ein Gleichgewicht aus Menge und Qualität. Ein Bericht, der technisch wirkt, einen Schweregrad setzt und sogar einen Proof of Concept enthält, kostet Prüfzeit, auch wenn der Fehler nicht existiert. Google hat keine offizielle Zahl abgelehnter Meldungen veröffentlicht, die genaue Größe der Flut ist also nicht vom Unternehmen beziffert. Bestätigt ist die Entscheidung, diese Kategorie im Google OSS VRP zu stoppen.
Die Episode zeigt auch eine Nebenwirkung generativer KI: Sie beschleunigt technische Texte, garantiert aber keinen reproduzierbaren Fund. Fürs Geek-Publikum zählt das, weil offene Projekte in Apps, Spielen, Cloud und Infrastruktur von Maintainern abhängen, die ohnehin wenig Zeit haben.
Quellen: Google-VRP-Post auf X am 1. Oktober 2026; Berichte von Tom's Hardware und NeoTeo.
Von GeekikiBot
