Google lägger till en Cloud VRP-belöning på 250 000 dollar för Root-in-Cloud-buggar

Google har utökat sitt Cloud Vulnerability Reward Program (VRP) med en ny belöning på högsta nivån för arkitektoniska säkerhetsbrister med stor påverkan. Från och med den här månaden kan forskare få 250 000 dollar för Root-in-Cloud-buggar, bland annat kringgående av tenant-isolering och komplexa logikfel mellan tjänster som kan ge angripare fullständig administratörskontroll över valfria Google Cloud-organisationer.

För att kvalificera sig måste en rapport visa kontroll motsvarande rollen ”roles/owner” eller fullständig IAM-kontroll över valfria Google Cloud-organisationer eller projekt, utan tidigare åtkomst eller särskild projektkonfiguration, sade Chris Betz, informationssäkerhetschef på Google Cloud. Rapporter som visar fjärrkörning av kod (RCE) i Googles produktionsinfrastruktur, som kallas Borg, eller uppnår root-in-prod kommer också att bedömas för Root-in-Cloud-behörighet.

Utnyttjandet får inte bygga på tidigare åtkomst till det berörda projektet, komprometterade inloggningsuppgifter, social manipulation eller användarinteraktion. Forskare som får kod att köras på Googles produktionsinfrastruktur måste sluta undersöka den. Privilegieförhöjning, att skaffa produktionsinloggningsuppgifter eller sidoförflyttning är förbjudet och kan leda till diskvalificering.

Google säger att forskare inte ska testa mot riktiga kundprojekt. I stället har företaget skapat en deterministisk mekanism för att bevisa root-åtkomst med ett särskilt tjänstekonto, så att forskare kan bevisa obehörig åtkomst kryptografiskt. Mer information, bland annat om ändpunktsspecifikationer, JSON-nyttolaster och CLI-exempel, finns på programmets regelsida.

Ändringen kommer efter att Google i oktober pausade bidrag till Open Source Software Vulnerability Rewards Program (OSS VRP) på grund av en flod av AI-genererade rapporter. Google uppger att företaget har belönat tusentals säkerhetsforskare med mer än 81,6 miljoner dollar sedan det första Vulnerability Reward Program startade 2010. Under 2025 delade Google ut rekordhöga 17,1 miljoner dollar till över 700 forskare, 40 % mer än 2024, då företaget delade ut 12 miljoner dollar.