谷歌扩展云漏洞奖励计划，最高赏金25万美元
Ionut Arghire 2026-11-06 15:51 北京
一试身手
聚焦源代码安全，网罗国内外最新资讯！
Google 扩展了云漏洞奖励计划 (VRP)，如研究人员能找到可导致完全管理控制的安全弱点，则可获得最高可达 25 万美元的顶级奖励。
这项最高旨在奖励“专门用于认可高影响力的架构研究”，将颁发给能够证明获得“roles/owner”权限或对任意 Google Cloud 组织或项目拥有完整 IAM 控制权的研究人员。
谷歌表示，要获得该奖励，利用路径不应依赖对项目的既有访问权限、此前已泄露的凭据，或用户交互/社会工程学。
能够证明在 Borg（Google 底层生产基础设施）中实现远程代码执行（RCE）或在生产环境中获得 root 权限的漏洞报告，也将根据新的 25 万美元“云中根权限 (root-in-cloud)”奖励进行评估。
谷歌云的首席信息安全官 Chris Betz 表示：“由于 Borg 中的代码执行有可能影响服务可用性或跨租户数据，研究人员一旦在 Borg 中实现任何执行，就必须立即停止所有探测。禁止实施提权、提取生产凭据和横向移动，否则将导致研究人员被取消资格。”
该公司已将“云中根权限”验证标准添加到其 Cloud VRP 页面并解释称，如果研究人员对初始入口点、执行上下文和攻击面的分析表明可以实现对任意租户或项目的完全接管，也可获得该漏洞赏金。Betz 指出：“识别租户隔离绕过和复杂的跨服务逻辑缺陷，需要人类的创造力、直觉和严谨的系统分析，并结合智能体系统的能力。”
谷歌云漏洞奖励计划负责人 Michael Cote 表示，将自身直觉与智能体工具相结合的新手研究人员，平均而言比两年前的新手发现了更多有趣的漏洞。他还指出，找到符合新的“云中根权限”层级条件的漏洞需要深厚的架构直觉和 AI能力。
Cote 表示：“高额激励需要清晰、安全的参与规则。我们绝不希望研究人员针对真实客户项目进行测试漏洞。相反，我们使用一个指定服务账户创建了一种确定性的 root 证明机制。研究人员可以针对该身份以加密方式证明未授权访问。”
代码卫士试用地址：https://sast.qianxin.com/
开源卫士试用地址：https://oss.qianxin.com/
原文链接
https://www.securityweek.com/google-introduces-250000-root-in-cloud-bug-bounty-reward/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞”
本文转载自微信公众号「代码卫士」，查看原文。版权归原作者所有，如有侵权请联系删除。