O Google ampliou seu Programa de Recompensas por Vulnerabilidades (VRP) da Google Cloud e criou uma nova recompensa máxima para falhas arquiteturais de segurança de alto impacto.
A partir deste mês, pesquisadores podem receber US$ 250.000 por falhas que permitam obter acesso root à nuvem. Isso inclui formas de contornar o isolamento entre locatários e falhas complexas de lógica entre serviços que possibilitem a um invasor assumir o controle administrativo total de quaisquer organizações da Google Cloud.
“Para receber essa recompensa máxima, é preciso demonstrar controle administrativo total, equivalente à role ‘roles/owner’ ou ao controle completo do IAM, sobre organizações ou projetos arbitrários da Google Cloud, sem acesso prévio nem configuração especial do projeto”, afirmou Chris Betz, diretor de segurança da informação (CISO) da Google Cloud.
“Além disso, relatos válidos de vulnerabilidades que demonstrem execução remota de código (RCE) na infraestrutura de produção da Google, conhecida como Borg, ou obtenção de acesso root em produção serão avaliados automaticamente pelo painel do VRP da Google Cloud para determinar se atendem aos critérios de acesso root à nuvem.”
Para se qualificar à recompensa, porém, os exploits não podem depender de acesso prévio ao projeto da vítima, credenciais comprometidas, engenharia social ou interação do usuário.
Pesquisadores que conseguirem executar código na infraestrutura de produção da Google também deverão interromper os testes. Não é permitido ampliar o acesso, obter credenciais de produção ou realizar movimentação lateral. Essas ações resultarão em desqualificação.
“Recompensas elevadas exigem regras de atuação claras e seguras. Não queremos que pesquisadores testem exploits em projetos de clientes reais”, acrescentou Michael Cote, responsável pelo VRP da Google Cloud.
“Em vez disso, criamos um mecanismo determinístico para comprovar o acesso root, usando uma conta de serviço designada. Os pesquisadores podem comprovar criptograficamente o acesso não autorizado a essa identidade.”
Mais detalhes sobre o VRP da Google Cloud, incluindo especificações de endpoints, payloads em JSON e exemplos de CLI, estão disponíveis na página de regras.
A iniciativa ocorre após o Google suspender, em outubro, o recebimento de relatos pelo Programa de Recompensas por Vulnerabilidades de Software de Código Aberto (OSS VRP), depois de uma onda de envios gerados por IA.
Desde o lançamento de seu primeiro Programa de Recompensas por Vulnerabilidades, em 2010, o Google pagou mais de US$ 81,6 milhões a milhares de pesquisadores de segurança em todo o mundo.
Em 2025, a empresa distribuiu um valor recorde de US$ 17,1 milhões a mais de 700 pesquisadores de segurança, um aumento de 40% em relação a 2024, quando pagou US$ 12 milhões no total.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...