Googleは、Cloud脆弱性報奨金プログラム（VRP）を拡充し、影響の大きいアーキテクチャ上のセキュリティ欠陥を対象とする最上位の報酬枠を新設しました。
今月から、研究者は「Root-in-Cloud」バグに対して25万ドルを獲得できます。対象となるのは、テナント分離の回避や、複数サービスにまたがる複雑なロジックの欠陥などです。これらを悪用すると、攻撃者は任意のGoogle Cloud組織の完全な管理権限を奪取できます。
Google CloudのCISO（最高情報セキュリティ責任者）であるChris Betz氏は、「この最上位の報酬を得るには、事前のアクセス権や特別なプロジェクト設定がない状態で、任意のGoogle Cloud組織またはプロジェクトに対する完全な管理権限、つまり『roles/owner』相当、あるいはIAMの完全な制御権を実証する必要があります」と述べています。
「さらに、Googleの本番基盤（Borg）でのリモートコード実行（RCE）や、root-in-prodの達成を示す有効な脆弱性報告は、Google Cloud VRPパネルが自動的にRoot-in-Cloudの対象となるかを評価します」
ただし、この報酬の対象となるには、攻撃が被害者のプロジェクトへの事前アクセス、侵害された認証情報、ソーシャルエンジニアリング、ユーザー操作のいずれにも依存しないことが条件です。
また、Googleの本番基盤上でコード実行に成功したセキュリティ研究者は、そこで調査を止めなければなりません。権限昇格、本番環境の認証情報の取得、横展開（ラテラルムーブメント）は認められておらず、行った場合は失格となります。
Cloud VRPのリーダーであるMichael Cote氏は、「高額な報酬には、明確で安全な行動ルールが欠かせません。研究者に実際の顧客プロジェクトを相手にエクスプロイトを試してほしくはありません」と付け加えました。
「そこで、指定したサービスアカウントを使う決定論的なルート権限の証明の仕組みを用意しました。研究者は、そのアカウントに対する不正アクセスを暗号学的に証明できます」
エンドポイントの仕様、JSONペイロード、CLIの例など、Google Cloud VRPの詳細はルールのページで確認できます。
今回の発表は、AIが生成した報告が殺到したことを受け、Googleが10月にオープンソースソフトウェア脆弱性報奨金プログラム（OSS VRP）への申請受け付けを停止したことに続くものです。
Googleは、2010年に最初の脆弱性報奨金プログラムを開始して以来、世界中の数千人のセキュリティ研究者に累計8,160万ドル以上の報酬を支払ってきました。
2025年には、700人を超えるセキュリティ研究者に過去最高の1,710万ドルを支払いました。これは、総額1,200万ドルだった2024年から40%の増加です。
