Google Cloud VRP: новая награда в 250000 долларов за уязвимости Root-in-Cloud

Компания Google объявила о значительном расширении своей программы вознаграждения за уязвимости Cloud Vulnerability Reward Program (VRP). Теперь исследователи безопасности могут рассчитывать на рекордную выплату в размере 250000 долларов за обнаружение критических архитектурных изъянов уровня Root-in-Cloud.

• Новая высшая категория вознаграждения составляет 250000 долларов за уязвимости типа Root-in-Cloud.
• Требуется доказательство полного административного контроля над сторонними организациями GCP без предварительного доступа.
• Исследователи инфраструктуры Borg также могут претендовать на выплату при соблюдении правил безопасности.
• С 2010 года компания выплатила более 81,6 миллиона долларов независимым экспертам по безопасности.

Условия получения рекордной выплаты

Начиная с этого месяца, эксперты по кибербезопасности могут заработать четверть миллиона долларов за баги типа Root-in-Cloud. К таким уязвимостям относятся обход изоляции тенантов (tenant-isolation bypasses) и сложные логические ошибки между сервисами, которые позволяют злоумышленникам получить полный административный контроль над произвольными организациями в Google Cloud.

Как отметил главный специалист по информационной безопасности Google Cloud Крис Бетц, для получения этой главной награды необходимо продемонстрировать полный административный контроль, эквивалентный роли владельца или полному управлению IAM, над произвольными организациями или проектами Google Cloud без какого-либо предварительного доступа или специальной настройки проекта.

Правила и ограничения для исследователей

Чтобы эксплойт соответствовал критериям отбора, он не должен зависеть от предварительного доступа к жертв-проекту, скомпрометированных учетных данных, социальной инженерии или взаимодействия с пользователем. Кроме того, исследователи, добившиеся выполнения кода на производственной инфраструктуре Google, должны прекратить дальнейшее сканирование.

Руководитель направления Cloud VRP Майкл Котэ подчеркнул, что высокие стимулы требуют четких и безопасных правил взаимодействия. Компания никогда не разрешает исследователям тестировать эксплойты на реальных клиентских проектах. Вместо этого создан детерминированный механизм доказательства получения корневого доступа с использованием специального сервисного аккаунта, позволяющий криптографически доказать несанкционированный доступ.

Контекст и статистика программы безопасности Google

Данное обновление программы происходит на фоне общего роста инвестиций Google в безопасность. В 2025 году компания выплатила рекордные 17,1 миллиона долларов более чем 700 исследователям безопасности, что на 40 процентов больше по сравнению с 2012 годом, когда общая сумма выплат составляла 12 миллионов долларов. Всего же с момента запуска первой программы VRP в 2010 году Google направила специалистам по всему миру более 81,6 миллиона долларов.

Стоит отметить, что эти изменения происходят на фоне недавних трудностей с фильтрацией отчетов. В частности, в октябре компания была вынуждена временно приостановить прием заявок в свою программу вознаграждений за уязвимости в открытом исходном коде OSS VRP из-за наплыва низкокачественных отчетов, сгенерированных с помощью искусственного интеллекта. Новая инициатива в облачном сегменте призвана привлечь высококлассных специалистов благодаря строгим правилам и значительным финансовым стимулам.