Google sospende i bug di prodotto nel suo bug bounty open source

La pagina delle regole del Google Open Source Software Vulnerability Reward Program lo dice in una riga: dal 1° ottobre 2026 le segnalazioni di vulnerabilità di prodotto non vengono più accettate. L'unica eccezione riguarda alcuni repository di Google Cloud che hanno impatto su prodotti Google Cloud, per i quali le segnalazioni possono ancora passare dal Cloud VRP. L'account @GoogleVRP su X ha precisato il 1° ottobre che la misura non tocca i report sulla supply chain né quelli già inviati e ancora aperti, e ha invitato i ricercatori a spostare l'attenzione sugli altri programmi VRP dell'azienda. Resta in piedi l'intera scala delle ricompense per la compromissione della supply chain: fino a 31.337 dollari per i progetti di livello OT0 (Flagship), 13.337 per OT1, 3.133,70 per OT2, niente denaro per OT3.

Il punto da annotare è che la pagina ufficiale non dice perché. Annuncia la sospensione, si impegna a continuare a rivedere questa parte del programma e fissa un appuntamento per il primo trimestre 2027. Il motivo va cercato altrove, e il documento che ci va più vicino è il post del blog Google Bug Hunters dedicato alla revisione delle regole del 2026: lì l'azienda segnalava un forte aumento di report di bassa qualità o non validi, compresi "AI-generated reports that contain incorrect information or 'hallucinations' about how a vulnerability might be triggered". Con quella stessa revisione erano arrivati i livelli di progetto OT0–OT3, l'obbligo per i progetti di fascia alta di una riproduzione esatta con OSS-Fuzz o di una patch già accettata per i report di corruzione della memoria, e la fine dei premi in denaro per le vulnerabilità di prodotto nei livelli OT2 e OT3. Tom's Hardware e altre testate collegano la sospensione di ottobre a quella stessa ondata di segnalazioni generate con l'IA.

Il collegamento è quindi plausibile ma indiretto: a marzo Google ha descritto il problema, a ottobre ha chiuso la categoria, e tra le due cose la pagina delle regole non traccia nessuna linea. Google non ha pubblicato numeri: né quanti report arrivano, né quale quota sia non valida, né quanti di quelli non validi siano stati prodotti con un modello. Circola anche una frase attribuita all'azienda su un forte aumento di invii automatizzati, in grande maggioranza non validi: non ho potuto verificarla in un testo integrale, perché il post su X richiede login, e quindi la tengo fuori dal conto dei fatti. Vale la pena ricordare che il contesto esiste anche fuori da Google: nel 2026 il progetto curl ha chiuso il proprio bug bounty, e la pressione sui manutentori open source è un tema che non nasce a Mountain View.

Quello che mi colpisce è la forma della decisione: provvisoria dichiarata, con un aggiornamento promesso entro il primo trimestre 2027. Google la presenta come temporanea, ma cosa ne verrà fuori non lo dice. Nel frattempo però, salvo l'eccezione dei repository Google Cloud, il canale è chiuso per chi quelle vulnerabilità le trova a mano, e per i prossimi mesi si saprà solo quanto Google deciderà di raccontare: senza numeri pubblici, l'unico modo di giudicare se la sospensione ha funzionato sarà leggere l'aggiornamento che Google ha promesso per il primo trimestre 2027.

— Olya