La suspensión afecta al canal de vulnerabilidades de producto del Open Source Software Vulnerability Rewards Program (OSS VRP), que recompensa la identificación de fallos en software de código abierto de Google. Según informó TechCrunch, la compañía comunicó la decisión en publicaciones en X y en la página web del programa.
Google no ha confirmado que el programa vaya a reanudarse en el primer trimestre de 2027. Su anuncio se limita a señalar que ofrecerá entonces una actualización sobre la situación del programa. La empresa tampoco ha cuantificado qué proporción de los informes automatizados procedía de sistemas de inteligencia artificial: el motivo comunicado oficialmente es el aumento de envíos automatizados y la afirmación de que la mayoría no era válida.
La medida no afecta a los informes sobre vulnerabilidades de la cadena de suministro. Tampoco modifica el tratamiento de las vulnerabilidades de producto enviadas antes del 1 de octubre de 2026, según la información publicada sobre el cambio. El alcance comunicado queda limitado a las nuevas comunicaciones de fallos de producto dentro del OSS VRP.
TechCrunch, citando a Tom’s Hardware, señaló que ingenieros de Google y mantenedores de proyectos de código abierto se habían visto desbordados por informes inválidos o por avisos con hallazgos que no podían verificarse. Esas informaciones describen parte de los envíos como relacionados con sistemas de inteligencia artificial o con resultados inventados, pero la declaración de Google se refiere a envíos automatizados y no atribuye expresamente todos ellos a la IA.
Durante la pausa, según TechCrunch, Google animó a los participantes a utilizar otros programas de recompensas de vulnerabilidades de la compañía. El próximo hito anunciado por Google es la actualización prevista para los primeros tres meses de 2027, sin que la empresa haya precisado todavía si el canal de vulnerabilidades de producto volverá a aceptar informes ni en qué condiciones.