Google ha reforzado su programa Cloud Vulnerability Reward Program (VRP) con una nueva categoría de recompensa de primer nivel destinada a fallos de seguridad arquitectónicos de gran impacto. A partir de este mes, los investigadores pueden recibir 250.000 dólares por vulnerabilidades denominadas 'Root-in-Cloud'.
Esta categoría abarca las elusiones del aislamiento entre inquilinos y los errores lógicos complejos que afectan a varios servicios, siempre que permitan a un atacante obtener control administrativo completo sobre organizaciones de Google Cloud arbitrarias.
Chris Betz, director de seguridad de la información (CISO) de Google Cloud, explicó que para acceder a esta recompensa principal es necesario demostrar control administrativo pleno, equivalente al rol 'roles/owner' o al control total de IAM, sobre organizaciones o proyectos de Google Cloud arbitrarios, sin acceso previo ni configuración especial del proyecto.
Betz añadió que los informes válidos que demuestren ejecución remota de código (RCE) en la infraestructura de producción subyacente de Google (Borg) o que logren root en producción serán evaluados automáticamente por el panel del Cloud VRP para determinar su elegibilidad como Root-in-Cloud.
No obstante, para optar a esta recompensa los exploits no pueden depender de acceso previo al proyecto de la víctima, credenciales comprometidas, ingeniería social ni interacción del usuario.
Además, los investigadores que logren ejecución en la infraestructura de producción de Google deben detener sus pruebas, ya que no se permite escalar privilegios, obtener credenciales de producción ni realizar movimiento lateral; hacerlo conllevará la descalificación.
Unos incentivos elevados exigen reglas de participación claras y seguras. Nunca queremos que los investigadores prueben exploits contra proyectos reales de clientes. En su lugar, creamos un mecanismo determinista de prueba de root mediante una cuenta de servicio designada. Los investigadores pueden demostrar criptográficamente un acceso no autorizado contra esa identidad.
El responsable del Cloud VRP, Michael Cote, es el autor de estas declaraciones, y los detalles adicionales sobre el programa —incluidas las especificaciones de los endpoints, las cargas útiles JSON y ejemplos de CLI— están disponibles en la página de reglas.
Esta novedad llega después de que Google suspendiera en octubre las presentaciones a su programa Open Source Software Vulnerability Rewards Program (OSS VRP) tras una avalancha de informes generados por inteligencia artificial.
Desde el lanzamiento de su primer programa de recompensas por vulnerabilidades en 2010, Google ha premiado a miles de investigadores de seguridad de todo el mundo con más de 81,6 millones de dólares. En 2025, la compañía entregó 17,1 millones de dólares a más de 700 investigadores, una cifra récord que supone un aumento del 40 % respecto a los 12 millones de dólares repartidos en 2024.
Contexto y artículos relacionados
- Google detiene su programa de recompensas por errores de código abierto ante la avalancha de spam generado por IA.
- Google interrumpe una botnet de malware Android XCPE presente en un millón de dispositivos y veta a un fabricante de decodificadores de TV.
- Más de 1.000 servidores GitLab son vulnerables a ataques RCE en curso.
- CISA afirma que un fallo de GitLab de máxima gravedad ya se explota en la naturaleza.
Deja una respuesta