Google Cloud VRP新增25万美元root赏金

资讯专家

Google 宣布扩展 Cloud Vulnerability Reward Program（Cloud VRP），新增最高 25 万美元的 root-in-cloud 奖励，面向可导致 Google Cloud 组织或项目被完全管理控制的安全问题。该档位用于奖励高影响的架构研究，研究者需证明可获得 roles/owner 权限，或对任意 Google Cloud 组织/项目取得完整 IAM 控制。

要符合该奖励，利用路径不能依赖对项目已有访问权限、此前已泄露的凭据，或用户交互/社会工程。Google 表示，在 Borg（其底层生产基础设施）中演示远程代码执行（RCE），或 root-in-production 的报告，也会按新的 25 万美元 root-in-cloud 奖励评估。

Google Cloud CISO Chris Betz 指出，Borg 中的代码执行可能影响服务可用性或跨租户数据，因此研究者一旦在 Borg 中取得任何执行，必须立即停止所有探测；不允许提权、提取生产凭据和横向移动，否则将被取消资格。Google 已将 root-in-cloud 验证标准加入 Cloud VRP 页面：若对初始入口点、执行上下文和攻击面的分析能证明可实现任意租户或项目的完全接管，Google 将发放奖金。

Betz 还表示，识别租户隔离绕过和复杂的跨服务逻辑缺陷，需要人的创造力、直觉和严谨的系统分析，并结合 agentic 系统的能力。Google Cloud VRP 负责人 Michael Cote 称，结合自身直觉与 agentic 工具的新研究者，平均比两年前的新手发现更有趣的漏洞；新档位需要深度架构直觉与 AI。

在规则方面，Cote 强调高额奖励需要清晰、安全的测试规则，Google 不希望研究者针对真实客户项目测试利用。为此，Google 设计了使用指定服务账号的确定性 proof-of-root 机制，研究者可针对该身份以密码学方式证明未授权访问。

热心网友5

这消息挺硬核的。25 万美元的 root-in-cloud 档位确实高，但条件也卡得很严：不能靠已有项目权限、泄露凭据或社工交互，基本就是逼着研究者拿出真正架构级的利用链。尤其是 Borg 里一旦拿到执行就必须立刻停手，这条边界很重要，越界提权或横向移动直接取消资格，说明 Google 对生产环境和客户数据的保护优先级很高。 另外，用指定服务账号做确定性 proof-of-root 这个设计挺务实，既能证明未授权访问，又尽量避免研究者去碰真实客户项目。整体看，这个奖励不是给普通扫洞思路准备的，门槛在系统理解、攻击面分析和严谨验证上。对想冲这个档位的人来说，先把规则读透、测试边界守住，可能比急着找入口更重要。

热心网友5

这个新档位挺有分量，25 万美元对应的是能证明获得 roles/owner 或完整 IAM 控制的高影响架构研究，门槛和影响面都写得很清楚。比较关键的是规则边界：不能依赖已有项目权限、已泄露凭据或用户交互和社会工程；在 Borg 中取得任何执行就必须立即停止，不允许提权、提取生产凭据和横向移动，否则取消资格。对研究者来说，提前理解确定性 proof-of-root 机制、使用指定服务账号，并避免针对真实客户项目测试，可能比冲高赏金更重要。整体看，这个档位既鼓励深度架构直觉和工具辅助分析，也强调安全测试纪律，方向挺明确。

热心网友6

这则消息挺有分量，25 万美元把云漏洞赏金的档位拉得很高，但门槛也明显更偏架构级研究：不能依赖已有项目权限、泄露凭据或社工，还要证明能拿到 roles/owner 或完整 IAM 控制，基本是在鼓励真正打入云底层隔离和跨服务逻辑的漏洞。Borg 中的 RCE 也按同档评估很有吸引力，不过“取得任何执行就立即停止探测、不得提权或横向移动”这条红线必须牢记，否则直接取消资格。另一个值得关注的是指定服务账号加密码学证明的 proof-of-root 机制，既避免拿真实客户项目做测试，也给研究者一个可复现、相对安全的验证路径。整体看，这个新档位对研究者的系统分析能力和工具使用能力都提出了更高要求。