Google heeft de OSS bug bounty voor open-source productkwetsbaarheden tijdelijk stopgezet. Sinds 1 oktober kunnen onderzoekers niet langer codeproblemen in onder andere Go, Angular en Protocol Buffers indienen voor een beloning. Google zegt dat de maatregel bedoeld is om een golf aan geautomatiseerde, vaak ongeldige meldingen te dempen.
Belangrijk: meldingen over compromissen in de software supply chain blijven wél vallen onder het programma, net als bepaalde andere typen security issues. Daarnaast worden bestaande meldingen van vóór 1 oktober niet geraakt door de wijziging.
Wat betekent de pauze voor de OSS bug bounty?
Vanaf 1 oktober accepteert Google geen product vulnerability reports meer via het OSS VRP-programma voor beloning. Dat gaat om ontwerp- of implementatiefouten in Googles open-source software die substantieel de vertrouwelijkheid of integriteit van gebruikersdata beïnvloeden in software die is opgebouwd met die code.
Google noemt als voorbeelden onder meer memory corruption in parsers van bestandsformaten en path traversal. Tegelijkertijd blijft het programma voor andere categorieën rapportages wel werkbaar.
Voor wie verandert er vooral iets?
De grootste impact zit bij onderzoekers die kwetsbaarheden in de core functionaliteit van open-source projecten willen laten vergoeden. Het OSS VRP werkte met een indeling in tiers op basis van gevoeligheid: alleen de topniveaus hadden product-vulnerability rewards, en die beloningen zijn nu verwijderd.
Concreet noemt Google dat de beloningsbedragen voor productkwetsbaarheden uit de regels zijn gehaald. In de flagship-tier ging het eerder om bedragen die variëren in de honderden tot enkele duizenden dollars, en in de important-tier om lagere bandbreedtes. De exacte bedragen zijn niet langer zichtbaar omdat Google ze tegelijk met de aankondiging heeft aangepast.
Waarom neemt Google deze maatregel?
Google koppelt de pauze aan een sterke stijging van geautomatiseerde submissions. Volgens het bedrijf is het merendeel niet geldig. Google publiceerde hierover een bericht op X, zonder cijfers te geven, en liet ook open of de meldingen al dan niet met AI-tools tot stand waren gekomen.
De onderliggende zorg is dus niet dat elke melding onjuist is, maar dat de instroom zó groot en zó vaak niet bruikbaar is geworden dat het programma extra filtering nodig heeft.
Welke meldingen worden wél geaccepteerd?
Hoewel product vulnerability reports zijn gepauzeerd voor de OSS bug bounty, noemt Google nog drie routes waar onderzoekers terechtkunnen.
1) Cloud VRP: productkwetsbaarheden voor sommige Cloud-repositories
Google verwijst naar het Cloud VRP voor gevallen waarin een open-source repository wordt onderhouden binnen Google Cloud en invloed heeft op Google Cloud producten. De publicatie noemt geen concrete lijst met repositories, maar stelt wel een maximale waardering van IT3b voor dit type scenario.
Voor onderzoekers betekent dit: als een kwetsbaarheid niet alleen “ergens in open source” zit, maar aantoonbaar raakt aan een Cloud-productlijn, kan een ander beloningskanaal logisch zijn.
2) Patch rewards: vergoedingen voor fixes
Daarnaast biedt Google een Patch Rewards Program. Dat is bedoeld voor security patches binnen projecten die onder het programma vallen, niet voor het enkel melden van een vulnerability.
De voorwaarden zijn streng: maintainers moeten de patch accepteren en de wijziging moet vervolgens minstens één maand blijven staan voordat die kan worden ingediend. Ook geldt dat een patch die slechts één individuele kwetsbaarheid oplost, per geval wordt beoordeeld.
Dit schuift de nadruk van “rapporteren” naar “aantoonbaar bijdragen aan de oplossing”.
3) Andere beloningsprogramma’s
Tot slot vraagt Google onderzoekers om na te gaan of een flaw onder een ander reward program valt. In de OSS VRP-regels staat ook dat projecten die dicht bij Google Cloud of AI-producten liggen, richting Cloud VRP of een AI-specifiek programma kunnen worden geleid.
Ook wijst Google erop dat de notice niet duidelijk maakt of product vulnerability reports zonder beloning nog steeds worden verwerkt.
Supply chain compromissen blijven onder het OSS VRP vallen
Een van de belangrijkste uitzonderingen in de regeling is dat supply chain compromises hun vermelde rewards behouden. Zulke issues gaan om fouten die een aanvaller in staat kunnen stellen om aan de broncode of aan gepubliceerde packages te sleutelen.
Daarnaast blijven ook andere beveiligingsproblemen meetellen, zoals bijvoorbeeld het lekken van credentials die iemand write access geven. Daarmee lijkt Google vooral prioriteit te geven aan meldingen die direct de integriteit van het ecosysteem kunnen ondermijnen.
Welke projecten worden genoemd als flagship of important?
Google werkt met een lijst van repositories per tier. De lijst stond volgens de publicatie voor het laatst rond mid-september bijgewerkt. Daarin worden 26 flagship repositories en 47 important repositories genoemd.
De flagship-tier bevat onder andere Go, Angular, Flutter, Bazel en Protocol Buffers. Dat zijn juist projecten waar veel ontwikkelteams dagelijks op leunen—en waar dus ook veel security onderzoek gebeurt.
De wijziging raakt daarmee potentieel een breed deel van de open-source community die security research doet richting Google-adjacent onderhoud.
Google scherpt al langer eisen aan rapportkwaliteit
Deze tijdelijke pauze past in een langere trend. Google introduceerde het OSS VRP in augustus 2022. Later, in maart 2026, zette Google extra stappen om low-quality reports te filteren in sommige tiers.
Als bewijs volstaat het bijvoorbeeld wanneer er al een patch is samengevoegd in het betreffende project. In de berichtgeving rond die eerdere aanscherping werd ook gewezen op zorgen over meldingen die werden gegenereerd met AI, inclusief gevallen met verzonnen trigger-details.
Los daarvan is er ook beleid per project: het Go-project voegde volgens de bron in early september een specifieke paragraaf toe over reports die door large language models (LLMs) zijn opgesteld. Daarbij vraagt Go expliciet om zulke rapporten niet te sturen zonder eerst te reviewen en te filteren.
De kernboodschap: AI kan helpen bij het ontdekken van echte bugs, maar kan ook onjuiste of niet-bestaande vulnerabilities produceren. Grote hoeveelheden ongefilterde output worden niet gehonoreerd.
Praktisch: zo kun je je melding nu beter positioneren
Als je onderzoek doet naar de OSS bug bounty, is het verstandig om je route vooraf te kiezen. Google’s regels en notice sturen duidelijk richting alternatieven wanneer product-vulnerability rewards wegvallen.
- Kijk of je issue onder supply chain valt, want daar blijven de rewards voor productrelevante impact wél genoemd.
- Beoordeel of je kwetsbaarheid raakt aan Google Cloud producten. Dan kan Cloud VRP een passend kanaal zijn.
- Overweeg het maken van een patch als dat haalbaar is. Patch rewards zijn een manier om toch vergoed te worden.
- Review je bevindingen extra als je AI-tools hebt gebruikt. Vooral: controleer triggers, impact, en technische onderbouwing.
Wil je breder leren over hoe aanvallen vaak misbruik maken van menselijk gedrag in plaats van alleen codefouten? Lees dan ook social engineering herkennen in live gesprekken. Dat helpt om te zien waar kwetsbaarheid in de praktijk vaak begint: bij toegang en vertrouwen, niet alleen bij softwarebugs.
Waarom dit ook organisaties raakt
Voor security teams binnen organisaties betekent deze update vooral iets op het vlak van verwachtingen. Als de OSS bug bounty bepaalde type meldingen tijdelijk niet beloont, kan de open-source instroom aan gedetailleerde rapporten verschuiven richting patching of supply chain issues.
Dat beïnvloedt hoe snel sommige fixes zichtbaar worden. Tegelijkertijd is het een signaal dat het ecosysteem meer waarde hecht aan verifieerbare kwaliteit en aan meldingen die direct kunnen helpen om risico’s in het software-ontwikkelpad te verlagen.
Wil je daarnaast weten hoe onderzoekers en teams omgaan met geloofwaardigheid en bewijsvoering in security context? Het artikel Cybersecurity in 2026: 9 kerngebieden & lessen geeft handvatten voor wat er in de komende periode belangrijk blijft, ook als de dreigingen en rapportagekanalen veranderen.
Conclusie
Google pauzeert tijdelijk de OSS bug bounty voor product vulnerability reports via OSS VRP. Vanaf 1 oktober kunnen onderzoekers niet langer dit type codekwetsbaarheden insturen voor een beloning, als reactie op een sterke toename van geautomatiseerde meldingen die volgens Google meestal niet geldig zijn.
Voor de rest blijft er echter een weg: supply chain compromissen worden nog steeds vergoed, en onderzoekers kunnen kiezen voor Cloud VRP, patch rewards of andere relevante rewardprogramma’s. Voor iedereen die security onderzoek doet in open source is de boodschap helder: kies het juiste kanaal én lever bewijs dat klopt.
Bron: https://thehackernews.com/2026/10/google-pauses-oss-product-bug-bounty.html
