Google ввела в Cloud VRP награду $250 000 за Root-in-Cloud уязвимости

Условия получения выплаты

Чтобы претендовать на максимальную выплату, исследователь должен продемонстрировать полный административный контроль — эквивалент роли роли владельца или полного контроля IAM (Identity and Access Management) — над произвольными организациями или проектами Google Cloud. При этом у него не должно быть предварительного доступа к целевому окружению или особых настроек проекта. «Чтобы заработать это вознаграждение, нужно продемонстрировать полный административный контроль, эквивалент roles/owner или полного IAM-контроля, над произвольными организациями или проектами Google Cloud без предварительного доступа и специальной настройки проекта», — Крис Бетц, директор Google Cloud по информационной безопасности.Заявки, подтверждающие удалённое выполнение кода (RCE) в основной продакшн-инфраструктуре Google (Borg) или достижение root-in-prod, также будут автоматически рассматриваться панелью Google Cloud VRP на соответствие критериям Root-in-Cloud.

При этом награда не выплачивается, если эксплойт опирается на предварительный доступ к проекту жертвы, скомпрометированные учётные данные, социальную инженерию или действия пользователя. Исследователям, добравшимся до выполнения кода на инфраструктуре Google, запрещено развивать атаку дальше: повышение привилегий, доступ к продакшн-учётным данным и горизонтальное перемещение ведут к дисквалификации.

«Высокие награды требуют понятных и безопасных правил взаимодействия. Мы никогда не хотим, чтобы исследователи тестировали эксплойты на реальных клиентских проектах. Вместо этого мы создали детерминированный механизм proof-of-root с выделенным сервисным аккаунтом», — Майкл Кот, руководитель Cloud VRP.

Контекст и статистика

Это расширение программы произошло после того, как в октябре Google приостановила приём заявок в Open Source Software VRP (OSS VRP) из-за потока сгенерированных ИИ отчётов. Детали обновлённого Cloud VRP, включая спецификации эндпоинтов, JSON-запросы и примеры CLI, опубликованы на странице правил.

• Максимальная выплата за Root-in-Cloud — $250 000.

• Необходим полный контроль IAM над произвольной организацией или проектом Google Cloud.

• Запрещены предварительный доступ, украденные учётные данные, социальная инженерия и действия пользователя.

• RCE в Borg автоматически проверяется на соответствие Root-in-Cloud.

• С запуска первой программы вознаграждений в 2010 году Google выплатила более $81,6 млн тысячам исследователей по всему миру.

• В 2025 году Google выплатила рекордные $17,1 млн более чем 700 исследователям — это на 40% больше, чем $12 млн в 2024-м.