Google oferă 250.000 de dolari pentru erori critice în Cloud

De ce doar erorile autonome califica?

Chris Betz, CISO al Google Cloud, a explicat regulile. Pentru a fi eligibil, calea de exploatare trebuie să fie complet autonomă.

Betz a subliniat că găsirea erorilor complexe în logica serviciilor și ocolirea izolării tenant-ului necesită o combinație unică de intuiție umană, analiză sistemică riguroasă și puterea sistemelor agentice.

Cum se testează sigur?

O parte esențială a noului cadru este mecanismul de dovadă la rădăcină. Pentru a împiedica cercetătorii să testeze pe proiecte reale de clienți, Google a creat un cont de serviciu țintă desemnat.

Acesta permite cercetătorilor să demonstrează criptografic accesul neautorizat, asigurând că testele sunt sigure și deterministe.

De ce AI-ul ajută descoperirea?

Michael Cote, liderul programului bug bounty al Google Cloud, a menționat că cercetătorii începători care combină propria intuiție cu instrumente agentice descoperă erori mai interesante decât începătorii de acum doi ani. El a subliniat că identificarea erorilor care califica pentru noua categorie root-in-cloud necesită intuiție arhitectonică profundă și sprijin AI.

Google a publicat criteriile de validare pentru root-in-cloud pe pagina sa Cloud VRP.

Ce reguli de validare se aplică?

Pentru a primi premiul, analiza trebuie să demonstreze clar că preluarea completă a unui tenant sau proiect este posibilă. O altă regulă cheie privește execuția codului în Borg, infrastructura de producție a Google. Raportele care arată RCE în Borg sau root-in-production vor fi evaluate pentru noul premiu.

Totuși, Betz a avertizat că, deoarece execuția codului în Borg poate afecta disponibilitatea serviciului sau datele între tenanți, cercetătorii trebuie să oprească explorarea imediat după ce ating execuția în Borg.

Ce înseamnă asta pentru industrie?

Escalarea privilegiilor, extragerea credențialelor de producție și mișcarea laterală sunt interzise și vor dezmări cercetătorul.

Această mișcare se înfăptuiește într-o tendință mai largă a industriei, unde marile companii își ajustează programele de bug bounty în răspuns la valuri de rapoarte automate și nevalide. În timp ce Microsoft a plătit 20 milioane de dolari către 500 de cercetători sub propriul său program, Google continuă să rafineze criteriile sale pentru a recompensa cercetarea cu impact ridicat, asigurând că cele mai mari premii merg către descoperiri cu adevărat transformatoare.