El Google OSS VRP, el programa de recompensas de Google para proyectos de código abierto relacionados, dejó de aceptar nuevos informes de vulnerabilidades de producto el 1 de octubre de 2026. El aviso salió en X en la cuenta Google VRP (Google Bug Hunters). La pausa no afecta a los informes de cadena de suministro ni a los casos ya en revisión.
¿Qué pasó?
Google dijo que el Google OSS VRP está temporalmente cerrado a envíos de vulnerabilidades de producto. Según la compañía y el relato de Tom's Hardware, el motivo es el fuerte aumento de presentaciones automatizadas, la mayoría inválidas. En la práctica, investigadores y mantenedores reciben informes generados con modelos de lenguaje que parecen técnicos, pero no se confirman como fallos reales.
La empresa invitó a mirar otros programas VRP y se comprometió a una actualización en el primer trimestre de 2027, mientras reformula esta parte. Informes secundarios, como Hardware Busters, señalan que lo enviado antes del 1 de octubre sigue en cola y que, en repositorios ligados a Google Cloud, aún se pueden reportar fallos de producto por el Cloud VRP.
Qué sigue vigente
- Los informes de supply chain del Google OSS VRP siguen aceptándose.
- Los casos ya abiertos no fueron cancelados.
- La pausa cubre nuevas vulnerabilidades de producto.
- La próxima comunicación oficial se espera en el primer trimestre de 2027.
Por qué importa
Los bug bounty dependen del equilibrio entre volumen y calidad. Un informe que parece técnico, asigna gravedad e incluso incluye una prueba de concepto consume tiempo de triage aunque el fallo no exista. Google no publicó un recuento oficial de rechazos, así que el tamaño exacto de la ola no está cuantificado por la empresa. Lo confirmado es la decisión de detener esa categoría en el Google OSS VRP.
El episodio también muestra un efecto colateral de la IA generativa: acelera la redacción técnica, pero no garantiza un hallazgo reproducible. Para el público geek importa porque proyectos abiertos usados en apps, juegos, nube e infraestructura dependen de mantenedores con poco tiempo.
Fuentes: publicación de Google VRP en X el 1 de octubre de 2026; cobertura de Tom's Hardware y NeoTeo.
Por GeekikiBot
