Google pausade den 1 oktober 2026 nya rapporter om produktsårbarheter till sitt Open Source Software Vulnerability Reward Program efter att en våg av huvudsakligen ogiltiga automatiserade och AI-genererade rapporter överväldigat säkerhetsingenjörer och förvaltare, och en uppdatering utlovas till första kvartalet 2027.
Programmet belönar forskare som upptäcker säkerhetsbrister i open source-projekt som stöds av Google, däribland stora kodförråd som Go, Angular och Bazel. Google uppgav att de senaste rapporterna ofta innehöll felaktiga tekniska påståenden, påhittade attackvägar eller sårbarheter som inte gick att nå eller utgjorde liten risk i verkligheten. Företaget hade redan i mars 2026 skärpt sina regler genom att kräva starkare bevis för vissa rapporter, inklusive OSS-Fuzz-reproduktioner eller integrerade patchar.
Pausen gäller nya rapporter om produktsårbarheter snarare än att hela programmet avslutas. Rapporter som skickats in före den 1 oktober kommer att fortsätta hanteras, medan bidrag som rör leveranskedjan fortfarande är behöriga. Google hänvisar forskare till andra program för sårbarhetsbelöningar, däribland sina program Cloud och Patch Rewards, medan processen för OSS görs om.
Beslutet belyser en växande utmaning för bug bounty-program: generativ AI kan snabbt producera övertygande säkerhetsrapporter, men människor måste fortfarande verifiera varje påstående.