--- title: "Google, geçersiz otomatik rapor yağmuru yüzünden açık kaynak hata ödüllerini durdurdu" url: "https://teknotayf.com/haber/google-gecersiz-otomatik-rapor-yagmuru-yuzunden-acik-kaynak-hata-odullerini-durdurdu" markdown_url: "https://teknotayf.com/haber/google-gecersiz-otomatik-rapor-yagmuru-yuzunden-acik-kaynak-hata-odullerini-durdurdu.md" site: "teknotayf.com" language: "tr" published: "2026-10-06 12:21:47" updated: "2026-10-10 05:19:37" category: "Siber Güvenlik" tags: ["Google","Siber Güvenlik","Açık Kaynak Güvenliği","Hata Ödül Programı"] source: "The Hacker News" --- # Google, geçersiz otomatik rapor yağmuru yüzünden açık kaynak hata ödüllerini durdurdu > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/google-gecersiz-otomatik-rapor-yagmuru-yuzunden-acik-kaynak-hata-odullerini-durdurdu > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Google, açık kaynak yazılımlarına yönelik hata ödül programında ürün açığı raporlarını 1 Ekim'den itibaren geçici olarak kabul etmeyi bıraktı. Şirket, kararın büyük çoğunluğu geçersiz olan otomatik başvurulardaki ciddi artıştan kaynaklandığını açıkladı; tedarik zinciri saldırılarına ilişkin raporlar ise hâlâ kabul ediliyor. - **Yayın tarihi:** 2026-10-06 12:21 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Google, Siber Güvenlik, Açık Kaynak Güvenliği, Hata Ödül Programı - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/google-pauses-oss-product-bug-bounty.html) ![Google, geçersiz otomatik rapor yağmuru yüzünden açık kaynak hata ödüllerini durdurdu](https://teknotayf.com/assets/uploads/2026/10/f7d8e54d656db691f4b587b210f4fe9a.jpg) **Google**, açık kaynak yazılımlarına yönelik hata ödül programı kapsamında ürün açığı raporlarını kabul etmeyi durdurdu. **1 Ekim'den itibaren geçerli** olan değişiklikle araştırmacılar, Go, Angular ve Protocol Buffers gibi projelerin kodundaki güvenlik açıklarını artık ödül karşılığında bildiremeyecek. Tedarik zinciri ihlallerine ilişkin raporlar kabul edilmeye devam ediyor; 1 Ekim'den önce gönderilen raporlar da değişiklikten etkilenmiyor. Google, 1 Ekim'de X'te yaptığı paylaşımda durdurmanın geçici olduğunu belirtti ve gerekçe olarak "otomatik başvurulardaki ciddi artışı" gösterdi; bu başvuruların büyük çoğunluğunun geçerli olmadığını kaydetti. Paylaşımda herhangi bir rakam verilmedi. Başvuruların yapay zekâ araçlarıyla üretilip üretilmediğine de değinilmedi. Açık Kaynak Yazılım Açığı Ödül Programı (OSS VRP) adıyla bilinen programın kurallarına artık durdurma kararıyla ilgili bir uyarı eklendi. Google, programın bu bölümünü yeniden düzenlerken **2027'nin ilk çeyreğinde bir güncelleme** yapma taahhüdünde bulunuyor. Ne paylaşımda ne de uyarıda, ürün açığı raporlarının yeniden kabul edilmeye başlanacağı bir tarih yer alıyor. Kurallara göre ürün açığı, Google'ın açık kaynak yazılımındaki bir tasarım ya da uygulama hatası anlamına geliyor. Bu hatanın, ilgili kodla geliştirilen yazılımlarda kullanıcı verilerinin gizliliğini ya da bütünlüğünü ciddi ölçüde etkilemesi gerekiyor. Örnekler arasında dosya biçimi ayrıştırıcılarındaki bellek bozulması ve dizin geçişi (path traversal) sayılıyor. Program, projeleri hassasiyetlerine göre dört kademeye ayırıyor. Ürün açıkları için ödül, yalnızca "amiral gemisi" ve "önemli" olarak adlandırılan ilk iki kademede listeleniyordu. Uyarıyı ekleyen aynı değişiklik, listelenen bu tutarları da kaldırdı: amiral gemisi projeler için 500 ila 7.500 dolar, önemli projeler için 101 ila 3.133,7 dolar. Değişiklik, X paylaşımından bir gün önce, 30 Eylül'de kuralların Google'ın herkese açık GitHub kopyasına işlendi. Google'ın en son eylül ortasında güncellenen kademeli depo listesinde 26 amiral gemisi ve 47 önemli depo yer alıyor. Amiral gemisi kademesinde Go, Angular, Flutter, Bazel ve Protocol Buffers bulunuyor. Bir projenin kaynak koduna ya da yayımlanmış paketlerine müdahale etmeye imkân verebilecek hatalar olan tedarik zinciri ihlalleri, listelenen ödüllerini koruyor. Yazma erişimi sağlayan sızdırılmış kimlik bilgileri gibi diğer güvenlik sorunları da öyle. Tedarik zinciri ihlalleri: 3.133,7 ila 31.337 dolar 1.337 ila 13.337 dolar 500 ila 3.133,7 dolar Yok (önceden 500 ila 7.500 dolardı) Yok (önceden 101 ila 3.133,7 dolardı) Diğer güvenlik sorunları Düşük öncelikli projelerin yer aldığı dördüncü kademede listelenen bir ödül bulunmuyor. ## Raporlar Artık Nereye Gidebilir Google'ın uyarısı, araştırmacılar için üç yol sıralıyor: Cloud VRP: Google Cloud ürünlerini etkileyen bazı Google Cloud depoları için ürün açığı raporları hâlâ kabul edilebilir, ancak uyarıda bu depoların adı verilmiyor. Cloud VRP kurallarına göre, Google Cloud tarafından yürütülen ve Cloud ürünlerini etkileyen bir açık kaynak deposundaki hata en fazla IT3b olarak derecelendiriliyor. Bu, satın almalar ve düşük öncelikli ürünler için ayrılan kademe; Google'ın ürün listesinde aksi belirtilmedikçe bu üst sınır geçerli. Yama ödülleri: Yama Ödülleri Programı, açık raporları için değil, kapsadığı projelere gönderilen güvenlik yamaları için 100 ila 15.000 dolar ödüyor. Bir yamanın gönderilebilmesi için projenin geliştiricileri tarafından kabul edilmesi ve bir ay boyunca yerinde kalması gerekiyor. Yalnızca tek bir açığı gideren yamalar vaka bazında değerlendiriliyor. Diğer ödül programları: Google, araştırmacılardan hatanın diğer ödül programlarından birinin kapsamına girip girmediğini kontrol etmelerini ve raporu oraya göndermelerini istiyor. OSS VRP kuralları da Google Cloud ya da yapay zekâ ürünleriyle yakından bağlantılı projelerdeki hataların Cloud VRP'ye ya da AI VRP'ye bildirilmesini öneriyor. Uyarıda, Google'ın ürün açığı raporlarını ödülsüz olarak kabul edip etmeyeceği belirtilmiyor. Bazı proje politikaları başka kanallara işaret ediyor. Go, güvenlik raporlarını kendi güvenlik ekibine e-postayla kabul ediyor. Google'ın GitHub organizasyonundaki bir güvenlik politikası ise rapor sahiplerini Google'ın açık bildirim adresi olan g.co/vulnz'ye yönlendiriyor. Angular'ın 6 Ekim itibarıyla geçerli güvenlik politikası, Angular'ın OSS VRP'nin parçası olduğunu söylüyor, açık raporlarını Google'ın Bug Hunters sitesine yönlendiriyor ve başka bir kanal belirtmiyor. ## Düşük Kaliteli Raporlara Daha Önce Getirilen Sınırlar Google, OSS VRP'yi Ağustos 2022'de başlattı. Mart 2026'da ise düşük kaliteli raporları elemek için bazı kademelerde daha güçlü kanıt şartı getirdi. Projeye hâlihazırda eklenmiş bir yama, kabul edilen kanıt biçimlerinden biri. InfoWorld'ün o dönemki haberine göre program ekibi, bazı yapay zekâ üretimi başvuruların düşük kalitesinden endişe duyuyordu; bu başvuruların çoğunda, bir açığın nasıl tetiklenebileceğine dair uydurma ayrıntılar yer alıyordu. Bundan ayrı olarak Go projesi, eylül başında güvenlik politikasına büyük dil modelleriyle (LLM) üretilen raporlara ilişkin bir bölüm ekledi. Politika, rapor sahiplerinden bu tür raporları önce inceleyip elemeden göndermemelerini istiyor. Politikaya göre LLM'ler gerçek güvenlik hatalarını bulmakta iyi, ancak var olmayan hataları raporlamakta da aynı derecede iyi. Filtrelenmemiş LLM çıktısını toplu halde ileten rapor sahipleri, bulguları için itibar kazanamayacak. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/google-gecersiz-otomatik-rapor-yagmuru-yuzunden-acik-kaynak-hata-odullerini-durdurdu Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.