Google 因无效自动化报告激增暂停开源产品漏洞奖励

Google 自 10 月 1 日起停止通过开源软件漏洞奖励计划（OSS VRP）接收 Go、Angular、Protocol Buffers 等项目的产品漏洞报告，并在 X 上称原因是自动化提交大幅增加且绝大多数无效。供应链投毒类报告仍被接收，10 月 1 日前提交的报告不受影响。规则页面同步移除了旗舰项目 500 至 7500 美元、重要项目 101 至 3133.7 美元的产品漏洞奖励金额，Google 承诺在 2027 年第一季度更新该部分规则。研究者可改走 Cloud VRP、Patch Rewards 或其他奖励计划提交，Go 项目则要求通过其安全团队邮箱报告。