Google añade una recompensa de 250.000 dólares en Cloud VRP por fallos Root-in-Cloud

Google ha ampliado su Cloud Vulnerability Reward Program (VRP) con una recompensa de máximo nivel para fallos arquitectónicos de seguridad de gran impacto. A partir de este mes, los investigadores pueden recibir 250.000 dólares por fallos Root-in-Cloud, incluidos los que eluden el aislamiento entre inquilinos y los errores complejos de lógica entre servicios que podrían permitir a los atacantes obtener el control administrativo total de organizaciones arbitrarias de Google Cloud.

Para optar a la recompensa, el informe debe demostrar un control equivalente al rol “roles/owner” o un control IAM completo sobre organizaciones o proyectos arbitrarios de Google Cloud, sin acceso previo ni una configuración especial del proyecto, afirmó Chris Betz, director de seguridad de la información de Google Cloud. Los informes que demuestren ejecución remota de código (RCE) en la infraestructura de producción de Google, conocida como Borg, o que logren root-in-prod también se evaluarán para determinar si cumplen los requisitos de Root-in-Cloud.

Los exploits no pueden depender del acceso previo al proyecto afectado, de credenciales comprometidas, de ingeniería social ni de la interacción del usuario. Los investigadores que logren ejecutar código en la infraestructura de producción de Google deben dejar de sondearla. La escalada de privilegios, la obtención de credenciales de producción y el movimiento lateral están prohibidos y pueden conllevar la descalificación.

Google afirma que los investigadores no deben probar exploits contra proyectos de clientes reales. En su lugar, creó un mecanismo determinista de prueba de acceso root mediante una cuenta de servicio designada, para que los investigadores puedan demostrar criptográficamente el acceso no autorizado. La página de reglas del programa ofrece más detalles, incluidas especificaciones de endpoints, cargas JSON y ejemplos de CLI.

El cambio se produce después de que Google suspendiera en octubre la recepción de informes para su Open Source Software Vulnerability Rewards Program (OSS VRP), tras una avalancha de informes generados por IA. Google afirma que ha recompensado a miles de investigadores de seguridad con más de 81,6 millones de dólares desde el lanzamiento de su primer Vulnerability Reward Program en 2010. En 2025 concedió una cifra récord de 17,1 millones de dólares a más de 700 investigadores, un 40 % más que en 2024, cuando otorgó 12 millones de dólares.