Google разшири своята програма за възнаграждения за откриване на уязвимости в облака – Cloud Vulnerability Reward Program (VRP) – с нова водеща награда за архитектурни пропуски в сигурността със сериозно въздействие.
От този месец изследователите могат да спечелят 250 000 долара за уязвимости от тип „Root-in-Cloud“, включително заобикаляне на изолацията между клиенти (tenant-isolation bypasses) и сложни логически грешки между отделните услуги, които позволяват на атакуващите да получат пълен административен контрол над произволни организации в Google Cloud.
„За да спечелите тази най-висока награда, трябва да демонстрирате пълен административен контрол – еквивалент на 'roles/owner' или пълен IAM контрол – над произволни организации или проекти в Google Cloud без предварителен достъп или специална конфигурация на проекта“, заяви Крис Бец, главен директор по информационна сигурност (CISO) на Google Cloud.
„Освен това валидните доклади за уязвимости, демонстриращи отдалечено изпълнение на код (RCE) в основната производствена инфраструктура на Google (Borg) или постигане на пълен административен достъп до продукционната среда (root-in-prod), автоматично ще бъдат оценявани от комисията на Google Cloud VRP за допустимост по категорията root-in-cloud.“
За да отговарят на условията за тази награда обаче, експлойтите не могат да зависят от предварителен достъп до целевия проект, компрометирани идентификационни данни, социално инженерство или взаимодействие с потребителя.
В допълнение, изследователите по сигурността, които постигнат изпълнение на код в производствената инфраструктура на Google, трябва да прекратят по-нататъшното тестване, тъй като ескалацията на привилегии, извличането на производствени идентификационни данни или страничното движение (lateral movement) не са разрешени и ще доведат до дисквалификация.
„Големите стимули изискват ясни и безопасни правила за участие. Никога не искаме изследователите да тестват експлойти срещу реални проекти на клиенти“, добави ръководителят на Cloud VRP Майкъл Коут.
„Вместо това създадохме детерминистичен механизъм за доказване на административен достъп (proof-of-root), използващ специално определен сервизен акаунт. Изследователите могат криптографски да докажат неоторизиран достъп спрямо тази идентичност.“
Повече подробности за Google Cloud VRP, включително спецификации на крайните точки, примери за JSON структури и CLI команди, са достъпни на страницата с правилата.
Това следва временното спиране на приема на доклади по програмата на Google за уязвимости в софтуер с отворен код – Open Source Software Vulnerability Rewards Program (OSS VRP) – през октомври след вълна от генерирани чрез изкуствен интелект сигнали.
Google е възнаградила хиляди изследователи по сигурността по целия свят с над 81,6 милиона долара от стартирането на първата си програма за награждаване при открити уязвимости през 2010 г.
През 2025 г. Google изплати рекордните 17,1 милиона долара на над 700 изследователи по киберсигурност, което представлява 40% увеличение спрямо 2024 г., когато компанията раздаде общо 12 милиона долара.