Google передумала экономить на поиске уязвимостей в Chrome и сразу вчетверо подняла базовые выплаты багхантерам. Весной компания резко урезала вознаграждения, но спустя полгода частично отыграла назад. Правда, прежние щедрые расценки возвращать не спешит.
13 октября Google объявила о пересмотре программы Chrome Vulnerability Rewards Program (VRP). Базовая награда за ошибки, связанные с повреждением памяти, выросла с $500 до $2000. В апреле компания настолько сильно сократила выплаты за некоторые категории уязвимостей, что исследователи столкнулись с десятикратным снижением гонораров. Новые суммы всё ещё уступают прежним.
Больше всего теперь можно заработать на серьёзных проблемах в процессах браузера, сетевого стека и графического процессора. За ошибки чтения памяти и сбои предусмотрено до $4000, за уязвимости с записью в память до $10 000. Если исследователь докажет возможность управляемой записи через содержимое веб-страницы, вознаграждение может достичь $20 000.
Отдельные расценки действуют для процесса рендеринга, который обрабатывает содержимое страниц. За ошибки записи в память и уязвимости типа use-after-free теперь платят до $8000. Последние возникают, когда программа продолжает обращаться к уже освобождённому участку памяти. Ошибки логики движка JavaScript V8 оцениваются в $4000, проблемы его песочницы в $5000.
Google расширила список оплачиваемых находок за пределами ошибок памяти. За уязвимости средней опасности (S2), не связанные с повреждением памяти, предусмотрена фиксированная выплата $2000, если отчёт содержит конкретное исправление или непосредственно помогает его разработать. За способы выхода из песочницы браузера, не требующие эксплуатации ошибок памяти, можно получить до $20 000.
Компания также возвращает премию Chrome Fuzzer Bonus в размере $2000 за разработку новых фаззеров. Такие инструменты автоматически подают программам необычные, случайные или специально сформированные входные данные, пытаясь вызвать сбой. Дополнительно Google собирается вручать специальные награды по итогам года, в том числе за лучшие отчёты и наиболее интересные находки.
Изменения вступили в силу немедленно. Причём новые расценки распространяются не только на будущие отчёты. Все заявки, поданные после 30 апреля 2026 года и до сих пор находящиеся на рассмотрении, Google оценит уже по обновлённым правилам. Исследователям по-прежнему нужно отправлять отчёты через Google Bug Hunters, выбрав программу Chrome VRP.
Пересмотр выплат происходит на фоне распространения ИИ-инструментов для поиска уязвимостей. Ранее Google приостановила приём части отчётов по программе вознаграждений за ошибки в открытом коде из-за потока автоматических заявок, большинство которых оказались недействительными. Теперь компания пытается поощрять сложные исследования Chrome, сохраняя требования к качеству находок.
