Google добавила в программу поиска уязвимостей награду $250 000

Для этого нужно доказать, что ошибка позволяет захватить произвольный облачный проект или организацию без предварительного доступа к ним.

Новая категория называется Root-in-Cloud. По словам директора по информационной безопасности Google Cloud Криса Бетца, исследователь должен продемонстрировать полный административный контроль: права, эквивалентные роли roles/owner, либо полный контроль над системой управления доступом IAM. Среди ошибок, которые могут привести к такому результату, компания называет обход изоляции между клиентами и сложные логические уязвимости при взаимодействии сервисов.

Эксплойт не должен опираться на прежний доступ к проекту жертвы, украденные учётные данные, социальную инженерию или действия пользователя. Google также проверит, подходят ли новой категории отчёты об удалённом выполнении кода в Borg, своей производственной инфраструктуре, и о получении привилегий root в ней. Компания оценит точку входа, условия выполнения кода и то, позволяет ли обнаруженная ошибка полностью захватить произвольный проект или организацию.

Для проверки исследователям нельзя атаковать проекты реальных клиентов. Руководитель Cloud VRP Майкл Коте рассказал, что Google предусмотрела подтверждение доступа через специально выделенную служебную учётную запись. Она позволяет криптографически доказать несанкционированный доступ. Если исследователь добился выполнения кода в Borg, он обязан сразу прекратить дальнейшие проверки: повышение привилегий, извлечение рабочих учётных данных и перемещение между системами приведут к исключению из программы.

Google запустила свою первую программу вознаграждений за уязвимости в 2010 году и с тех пор выплатила исследователям более $81,6 млн. В 2025 году выплаты превысили $17,1 млн: награды получили свыше 700 человек. Годом ранее общая сумма составила $12 млн.