Google готова заплатить $250 000 за взлом облачной платформы без украденных паролей и предварительного доступа. Компания ввела новую категорию вознаграждений Root-in-Cloud, рассчитанную на исследователей, способных найти фундаментальные ошибки в защите Google Cloud.
Главное условие для получения максимальной награды заключается в полном захвате произвольного проекта или организации Google Cloud. Исследователь должен получить административные полномочия, сопоставимые с ролью roles/owner, либо полный контроль над системой управления доступом IAM. При этом атака должна работать без специальной настройки проекта.
Правила исключают сценарии с украденными, перехваченными или случайно раскрытыми учётными данными. Нельзя использовать ранее полученный доступ, обман пользователей и социальную инженерию. Google интересуют прежде всего ошибки архитектуры, позволяющие обойти изоляцию клиентов облака или воспользоваться сложными логическими недостатками нескольких сервисов.
Для подтверждения взлома Google предусмотрела специальный механизм proof-of-root. Исследователь должен криптографически доказать несанкционированный доступ к выделенной сервисной учётной записи. Такой подход позволяет проверить результат без нападения на реальные клиентские проекты и риска для работающих систем. Условия программы строго ограничивают допустимые действия.
Отдельные правила действуют для инфраструктуры Borg, на которой работают производственные системы Google. Если исследователь добился удалённого выполнения кода, дальнейшие эксперименты необходимо немедленно остановить. Повышать привилегии, извлекать рабочие учётные данные и перемещаться между системами запрещено. Нарушение приведёт к дисквалификации.
Подтверждённые находки, связанные с выполнением кода в Borg или получением root-доступа в производственной среде, автоматически направят на рассмотрение комиссии Cloud VRP. Специалисты оценят, позволяет ли исходная точка атаки полностью захватить произвольный проект. Сам факт выполнения кода ещё не гарантирует выплату $250 000.
Новые правила вознаграждений представили на фоне резкого роста автоматизированного поиска уязвимостей. Руководитель Cloud VRP Майкл Коте рассказал, что за последние 18 месяцев число подтверждённых отчётов оставалось стабильным, хотя общий поток заявок сильно вырос. Проверяющим всё чаще приходится отделять реальные проблемы от ошибочных выводов ИИ.
Google рассчитывает поддержать исследователей, которые сочетают человеческий опыт с возможностями ИИ-агентов. Компания уже сталкивалась с последствиями массовой автоматизации и недавно приостановила приём части отчётов об уязвимостях открытого ПО. Теперь особую ценность приобретают сложные находки, которые невозможно получить одним запуском сканера.
Ещё одна проблема связана со скоростью публикации уязвимостей. По оценке Google, нейросети помогают злоумышленникам быстрее превращать известные ошибки в рабочие эксплойты. Компания призывает исследователей согласовывать раскрытие находок с разработчиками, а защитников быстрее устанавливать исправления. Ранее Google уже повысила выплаты за уязвимости Chrome.
