Google повысила вознаграждение за обнаружение эксплойтов в Android до $1,5 млн

[душман]

Google решила пересмотреть программу вознаграждения за обнаружение уязвимостей в ОС Android и браузере Chrome, предложив вознаграждение до $1,5 млн за самые сложные эксплойты. За простые уязвимости, которые теперь обнаруживаются при помощи ИИ, размер вознаграждения решили снизить. Максимальное вознаграждение в размере $1,5 млн компания выплатит за схему атаки с эксплуатацией полной цепочки уязвимостей для чипа безопасности Pixel Titan M2 с сохранением активности — это наиболее сложный сценарий в программе; за те же эксплойты без сохранения активности компания готова заплатить до $750 тыс. 

За атаку с эксплуатацией цепочки уязвимостей Google Chrome на современных ОС и компьютерах компания выплатит до $250 тыс.; дополнительная премия в $250 тыс. будет выплачена за схему атаки с обходом механизма защиты памяти MiraclePtr. В программе Google Chrome акцент смещается на краткие отчёты с доказательствами ошибок и указанием на важные недоработки — длинные письменные анализы, которые сейчас может генерировать ИИ, компанию не интересуют. 

В программе для Android приоритетом являются уязвимости ядра Linux применительно к компонентам, которые разрабатывает Google; и прочие уязвимости, если исследователь сможет продемонстрировать работающий эксплойт на Android. В 2025 году Google выплатила 747 обнаружившим уязвимости экспертам $17,1 млн, и это исторический рекорд — общий размер выплат вырос на 40 % по сравнению с 2024 годом. С момента запуска программы в 2010 году сумма премий составила $81,6 млн; в 2026 году, несмотря на сокращение некоторых индивидуальных сумм вознаграждений, компания ожидает дальнейшего увеличения общего размера выплат.