OSS VRP è l'acronimo di Open Source Software Vulnerability Reward Program di Google. Si tratta di un canale bug bounty per problemi di sicurezza individuati in progetti open source idonei, in cui i ricercatori presentano la prova di una vulnerabilità reale e, quando la segnalazione viene accettata, possono ricevere una ricompensa. L'obiettivo è aiutare i manutentori a trovare e correggere le vulnerabilità prima che gli aggressori possano sfruttarle.
Nella pratica, programmi come OSS VRP dipendono da una forte attività di triage. Le segnalazioni valide di solito includono un riproduttore minimo, un impatto chiaro e dettagli tecnici sufficienti affinché i manutentori possano verificare il bug localmente. Questo è importante perché i progetti open source vengono spesso riutilizzati in prodotti e servizi, quindi una singola debolezza può influire su molti sistemi a valle. Dal lato difensivo, i programmi di ricompensa incoraggiano la divulgazione responsabile e offrono ai proprietari del progetto un modo strutturato per dare priorità alle correzioni. Dal lato offensivo, gli aggressori possono cercare negli stessi codebase vulnerabilità di memory corruption, flaw di injection o errori logici; un OSS VRP gestito bene aiuta a portare alla luce prima questi problemi.