Google OSS Hata Ödülünü Dondurdu

Google, açık kaynak yazılımlardaki güvenlik açıklarını ödüllendirdiği Open Source Software Vulnerability Reward Program (OSS VRP) kapsamında ürün güvenlik açığı başvurularını 1 Ekim 2026 itibarıyla durdurdu. Şirket kararı, "otomatik başvurularda ciddi artış" gerekçesiyle duyurdu ve gelen raporların büyük çoğunluğunun geçersiz olduğunu belirtti.

Ne değişti, ne aynı kaldı?

Google, X ve program sitesindeki duyuruda ürün güvenlik açığı başvurularının 1 Ekim'den itibaren kabul edilmediğini açıkladı. 1 Ekim öncesinde kaydedilen raporlar işlenmeye devam edecek. Programın tedarik zinciri (supply chain) başvuruları askıya alınmadı. Bunun yanında, Google Cloud ürünlerini doğrudan etkileyen bazı depolar için açıklar ayrı bir program olan Cloud VRP üzerinden bildirilebiliyor. Şirket, programın yeniden düzenlenmesi için 2027'nin ilk çeyreğinde bir güncelleme paylaşacağını söyledi.

Kök sorun: üretmesi ucuz, doğrulaması pahalı

OSS VRP 2022'de kurulmuştu ve 100 dolardan 31.337 dolara kadar ödeme yapıyordu. Go, Angular veya Protocol Buffers gibi projelerde gerçek bir açık bulmak zaman ve ciddi uzmanlık gerektiriyordu; bu da rapor hacmini yönetilebilir, kalitesini görece yüksek tutuyordu. Büyük dil modelleri bu denklemi bozdu: Artık bir betik, bir modeli kod deposuna yönlendirip dakikalar içinde güvenlik derecesi ve "kanıt" içeren, ikna edici görünen bir rapor üretebiliyor. Maliyet kaybolmuyor; doğrulama işini yapan bakıcılara (maintainer) kayıyor. Her geçersiz rapor okunmak, yeniden üretilmeye çalışılmak ve kapatılmak zorunda; bu da gerçek hatalara ayrılacak zamandan çalınıyor.

Google yalnız değil

Aynı tablo yıl boyunca açık kaynak dünyasının gündemindeydi. curl projesi, geliştiricilerin zamanını tüketen yapay zeka yazımı raporlar nedeniyle hata ödül programını sonlandırdı. Linux ağ bakıcıları, yapay zeka kaynaklı yama ve rapor dalgasının kendilerini bunaltığını, hatta bazı düzeltmelerin bir sonraki çekirdek sürümüne kaydırıldığını aktardı. Geçtiğimiz ay Intel'in hata ödül programı da askıya alındı; Intel yapay zekayı gerekçe olarak resmen doğrulamadı. Google, yılın başında OSS VRP kurallarını düşük kaliteli raporları filtreleyecek şekilde zaten güncellemişti; ürün başvuru akışını tamamen durdurmak, bu çabanın yeterli olmadığını gösteriyor.

İronik taraf ve olası çözümler

Kuyrukları çöple dolduran araçlar, gerçek hataları da buluyor: Google'ın kendi yapay zeka ajanı geçen yıl açık kaynak yazılımlarda 20 gerçek güvenlik açığı tespit etti. Sorun, makinelerin hata avlaması değil; geçerli rapor başına ödeme yapan bir programın, API anahtarı olan herkese "her şeyi gönder, firmalar ayıklasın" teşviki vermesi. 2027'de ne döneceği belirsiz; yeni göndericiler için itibar kapısı veya çalışan bir kanıt-zorunluluğu (PoC) en olası seçenekler arasında.

Kapsam değişikliği ne anlama geliyor?

Duraklatma, yalnızca ürün güvenlik açığı başvurularını kapsıyor; bu da pratikte bağımsız araştırmacıların en sık kullandığı yolun kapandığı anlamına geliyor. Programın tedarik zinciri (supply chain) tarafı ise derlenmiş paketlerde ve derleme hatlarında oluşan bozulmaları konu alıyor ve açık kalıyor. Google, araştırmacıları diğer VRP programlarına ve Patch Rewards Programı'na yönlendiriyor. Ne var ki bu alternatiflerin kapsamı ve ödeme yapısı OSS VRP ile birebir örtüşmüyor; bir araştırmacının geçiş yapması, yeni kabul kriterlerini ve hangi depoların hangi programa girdiğini yeniden öğrenmesini gerektiriyor. Google Cloud depoları için Cloud VRP bir istisna sunsa da, tüm depoların bu kapsama girip girmediği net değil.

Sonuç

Google'ın OSS VRP duraklaması, üretken yapay zekanın bir sistemin iş yükünü nasıl alt üst edebileceğinin somut örneği. Açık kaynak güvenliğinde sinyal/gürültü oranı bozuldukça, "önce itibarını kanıtla" yaklaşımının sektör standardına dönüşmesi bekleniyor. Program hakkında güncel kapsam ve ödeme bilgisi için Google'ın resmî VRP sayfasını kontrol edin.