Google OSS VRP निलंबन विश्लेषण: सत्यापन दुर्लभ है

बग बाउंटी इनबॉक्स हमेशा से एक अजीब-सा छोटा दलदल रहा है: असली एक्सप्लॉइट, जोशीली गलतफहमियाँ, डुप्लिकेट रिपोर्टें, और कभी-कभार ऐसा स्क्रीनशॉट जिसकी फॉरेंसिक वैल्यू आलू जितनी हो। Google ने अभी उस दलदल के एक हिस्से के चारों ओर अस्थायी बाड़ लगा दी है। इसलिए नहीं कि शोधकर्ताओं ने बग ढूँढना बंद कर दिया, बल्कि इसलिए कि मशीनों ने औद्योगिक स्तर पर शोर जमा करना बहुत सस्ता बना दिया।

इस बार, यह कोई ऐसा ब्रीच नहीं है जिसके साथ चमकदार माफ़ीनामा जारी हुआ हो। यह एक प्रक्रिया-विफलता की कहानी है, जो किसी तरह ज़्यादा उपयोगी और कम सिनेमाई है। सीख साफ़ है: जब AI रिपोर्ट बनाना सस्ता कर देता है, तो महँगा हिस्सा यह साबित करना बन जाता है कि ढेर में कुछ भी सचमुच असली है।

क्या हुआ: एक बाउंटी कतार स्पैम की दीवार से टकराई

dev.ua के अनुसार, Google ने 1 अक्टूबर, 2026 से अपने Open Source Vulnerability Rewards Program के तहत रिपोर्टें निलंबित कर दीं, क्योंकि AI से बनी रिपोर्टों में असामान्य उछाल आया था, जिनमें से अधिकतर अमान्य थीं। BleepingComputer ने OSS VRP सबमिशन के लिए इसी रोक की रिपोर्ट की और कहा कि यह कार्यक्रम Google द्वारा मेंटेन किए गए ओपन सोर्स प्रोजेक्ट्स को कवर करता है, जिनमें Golang, Angular, Bazel, Protocol Buffers, और Fuchsia शामिल हैं, साथ ही महत्वपूर्ण थर्ड-पार्टी डिपेंडेंसीज़ और रिपॉज़िटरी सेटिंग्स भी। BleepingComputer के अनुसार, Google ने अगस्त 2022 में OSS VRP लॉन्च किया था, जिसमें महत्वपूर्ण सॉफ्टवेयर सप्लाई चेन प्रभाव वाली सुरक्षा खामियों के लिए $100 से $31,337 तक के इनाम थे।

@title AI स्पैम ट्रायेज को कैसे जाम करता है
@source BleepingComputer
@source Neowin

  AI reports
     │
     ▼
  Mostly invalid
     │
     ▼
  Human review
     │
     ├─ OSS product pause
     ├─ Supply chain continues
     ├─ Cloud VRP continues
     └─ Patch Rewards continues

@caption Google ने OSS प्रोडक्ट रिपोर्टों को रोका, जबकि रिपोर्टिंग के दूसरे रास्ते खुले हैं।

BleepingComputer के ज़रिए मिला मुख्य उद्धरण उस शांत कॉरपोरेट वाक्य जैसा है जो एक ऐसे ट्रायेज रूम को छिपा देता है जहाँ लोग फ्लोरोसेंट अंधेरे में घूर रहे हैं: "We are temporarily no longer accepting OSS VRP product vulnerability submissions. This does not impact OSS VRP supply chain reports, or any outstanding reports." उसी रिपोर्ट के अनुसार Google ने यह भी कहा, "This pause is due to a significant rise in automated submissions, the vast majority of which are not valid." अनुवाद: स्कैनर को एक परछाईं मिली, उसने एक उपन्यास लिख दिया, और किसी इंसान को फिर भी जाँचना पड़ा कि ड्रैगन सच में मौजूद था या नहीं।

असर का दायरा: हेडलाइन जितना बड़ा नहीं

Neowin ने रिपोर्ट किया कि यह रोक 2027 की पहली तिमाही तक ओपन सोर्स बग रिपोर्टिंग को प्रभावित करती है, लेकिन सिर्फ OSS VRP फ्रेमवर्क के तहत प्रोडक्ट वल्नरेबिलिटी सबमिशन के लिए। यह फर्क मायने रखता है, क्योंकि वल्नरेबिलिटी डिस्क्लोज़र प्रोग्राम कोई एक विशाल लाल बटन नहीं हैं जिस पर “घबराहट” लिखा हो। BleepingComputer ने रिपोर्ट किया कि OSS VRP सप्लाई चेन रिपोर्टें और पहले से लंबित रिपोर्टें प्रभावित नहीं हैं, और शोधकर्ता ओपन सोर्स फिक्स के लिए अब भी Google Patch Rewards Program सबमिशन का इस्तेमाल कर सकते हैं, जहाँ उच्च प्रभाव वाले फिक्स के लिए $15,000 तक के इनाम हैं।

BleepingComputer ने यह भी रिपोर्ट किया कि Google Cloud के ओपन सोर्स रिपॉज़िटरीज़ में मौजूद वे वल्नरेबिलिटी जो Cloud उत्पादों को प्रभावित करती हैं, अब भी Cloud VRP के ज़रिए जा सकती हैं। इसलिए पाठक के लिए उपयोगी निष्कर्ष यह नहीं है कि Google ने ओपन सोर्स सुरक्षा से हाथ खींच लिया है। बात यह है कि एक इनटेक लेन इतनी बुरी तरह जाम हो गई कि Google ने उसे अस्थायी रूप से बंद कर दिया, जबकि दूसरी लेन खुली रहीं—जैसे कोई अस्पताल गैर-ज़रूरी मामलों को डायवर्ट कर रहा हो क्योंकि वेटिंग रूम AI से बने चार्टों से भरा है जो हर किसी को लाइटहाउस फीवर बता रहे हैं।

अर्थशास्त्र: AI ने रिपोर्टें सस्ती कर दीं, वैलिडेशन महँगा ही रहा

Neowin ने रिपोर्ट किया कि मेंटेनर हजारों झूठी रिपोर्टों से दब रहे थे और हर रिपोर्ट को किसी इंसान द्वारा जाँचना पड़ता था, जिससे बर्नआउट हो रहा था। यही असली कहानी है। AI ने सत्यापित वल्नरेबिलिटी उसी गति से जादुई रूप से पैदा नहीं कीं जिस गति से उसने भरोसेमंद लगने वाले सबमिशन बनाए, और सुरक्षा में “भरोसेमंद लगना” खतरनाक शब्द है क्योंकि यह बस एक कॉस्ट्यूम चेंज दूर है—एक हफ्ता बर्बाद करने से।

बग बाउंटी प्रोग्राम पहले एक खास मात्रा के घर्षण को मानकर चलते थे: बग ढूँढना, उसे दोहराना, रिपोर्ट लिखना, और प्रभाव समझाना मेहनत माँगता था। AI कागज़ी काम और कभी-कभी शुरुआती खोज की लागत घटा देता है, लेकिन यह वैलिडेशन की लागत अपने-आप नहीं घटाता। bottleneck खोज की मात्रा से सिग्नल की गुणवत्ता पर चला जाता है, और अगर आपकी इनटेक प्रक्रिया बकवास पर भी उतना ही ध्यान-कर लगाती है जितना एक काम करने वाले एक्सप्लॉइट पर, तो बधाई हो, आपने अपनी ही ट्रायेज कतार में denial of service वल्नरेबिलिटी बना ली।

इसका आपके लिए असल मतलब क्या है

बिल्डरों और सुरक्षा लीडरों के लिए, BleepingComputer और dev.ua द्वारा रिपोर्ट किया गया Google का यह पॉज़ AI-संतृप्त दुनिया के लिए डिस्क्लोज़र प्रोग्राम डिज़ाइन करने का उपयोगी केस स्टडी है। इनटेक फॉर्मों को सिर्फ आत्मविश्वासी गद्य नहीं, बल्कि reproducibility, प्रभाव के प्रमाण, न्यूनतम काम करने वाले उदाहरण, और स्पष्ट प्रभावित कंपोनेंट्स को पुरस्कृत करना चाहिए। प्रोग्रामों को शायद अधिक स्पष्ट स्कोप, प्री-सबमिशन वैलिडेशन चेक, शोधकर्ता प्रतिष्ठा का वेटिंग, और उन रिपोर्टों के लिए तेज़ रिजेक्शन रास्ते भी चाहिए जो यह नहीं दिखा सकतीं कि कोई वास्तविक सुरक्षा सीमा पार हुई है।

शोधकर्ताओं के लिए संदेश उतना ही व्यावहारिक है: AI सहायता पाप नहीं है, कम-सिग्नल सबमिशन पाप है। अगर कोई टूल आपको कोड जाँचने में मदद करता है, तो बढ़िया—आधुनिक काम में आपका स्वागत है। लेकिन अगर अंतिम रिपोर्ट vulnerable path, impact, और reproduce करने के steps नहीं समझा सकती, तो वह research नहीं है; वह CVE जैसी टोपी पहने कंफ़ेटी है।

अब देखने वाली अगली चीज़ यह है कि Google पॉज़ हटने से पहले OSS VRP को कैसे फिर से समायोजित करता है, जिस पर BleepingComputer के अनुसार Google काम कर रहा है। अगर Google को बेहतर फ़िल्टर मिल जाता है, तो दूसरे मेंटेनर उसे कॉपी करेंगे, क्योंकि कोई नहीं चाहता कि उसका bug bounty desk AI compost heap में बदल जाए। इंटरनेट सिर्फ ज़्यादा रिपोर्टों से नहीं बचता; वह सत्यापित, काम में आने वाली रिपोर्टों से बचता है, जो इंसानों को गलत लोगों के नोटिस करने से पहले सही चीज़ ठीक करने देती हैं।