Google заплатит вам $1,5 млн, если вы сможете взломать чип Titan M2 Pixel.

TLDR

Google сейчас предлагает до 1,5 миллиона долларов за продвинутые взломы Pixel с нулевым кликом, нацеленные на чип безопасности Titan M2.
Тем временем, Google сокращает выплаты за базовые уязвимости Android и Chrome и урезает несколько бонусных категорий.
Исследователи всё ещё могут заработать до 250 000 долларов за эксплойты Chrome для полной цепочки, а бонус MiraclePtr остаётся неизменным.

Google снижает выплаты за обнаружение базовых уязвимостей в Android и Chrome. Однако они предлагают огромную награду в 1,5 миллиона долларов любому, кто сможет навсегда взломать чип безопасности Titan M2 телефона Pixel без какого-либо взаимодействия с пользователем.

"Просто покупай индекс", говорили они. "Это надежно". Здесь мы обсуждаем, почему это не всегда так, и как жить с вечно красным портфелем.

Поверить в рынок

Google обновила свои программы вознаграждения за обнаружение ошибок для Android и Chrome. Компания теперь будет уделять приоритетное внимание и вознаграждать сообщения, в которых подробно описываются сложные, критические уязвимости в системе безопасности, вместо того, чтобы сосредотачиваться на менее важных проблемах. Эти изменения уже вступили в силу.

Google увеличивает вознаграждение для исследователей безопасности, которые обнаруживают недостатки в Android. Теперь они предлагают до 1,5 миллиона долларов – значительное увеличение по сравнению с предыдущим 1 миллионом долларов – за серьезные, продолжающиеся уязвимости, особенно те, которые могут атаковать телефоны Pixel с чипами безопасности Titan M без какого-либо взаимодействия с пользователем. Они также заплатят 750 000 долларов за недостатки, которые не являются продолжающимися.

Итак, похоже, Google вносит изменения в свою программу вознаграждения за обнаружение ошибок в Chrome. Они говорят, что получают гораздо больше отчетов об уязвимостях благодаря ИИ, что здорово, но это также означает, что они снижают вознаграждения за некоторые вещи и сокращают бонусные категории. Они по-прежнему *хотят*, чтобы исследователи в области безопасности находили и сообщали об ошибках, но теперь они действительно сосредоточены на отчетах, которые понятны, легко проверяемы и четко показывают, насколько опасна ошибка на самом деле. Похоже, они предпочитают получать меньше действительно надежных отчетов, чем тонну менее полезных.

Мы убираем награды за обнаружение удалённого выполнения кода (RCE) или произвольных уязвимостей чтения/записи. Google объясняет, что ИИ теперь часто выявляет эти проблемы. Вместо этого мы предоставляем специальные версии Chrome, которые позволяют исследователям демонстрировать произвольный доступ для чтения/записи в защищённых процессах.

Google сейчас предлагает до 250 000 долларов исследователям безопасности, которые находят и сообщают об уязвимостях в браузере. Они по-прежнему предлагают специальный бонус в размере 250 128 долларов за определенные типы эксплойтов, но выплаты за другие находки снижаются. Google заявляет, что общая сумма денег, доступная в качестве вознаграждений в 2026 году, на самом деле будет выше.

За последний год Google усилил свою концентрацию на безопасности, используя искусственный интеллект. Недавно они представили программу в 2025 году, которая вознаграждает исследователей в области безопасности на сумму до 30 000 долларов за обнаружение уязвимостей в функциях искусственного интеллекта в таких продуктах, как Gemini, Google Search и Workspace AI. Эти уязвимости включают в себя такие проблемы, как манипулирование искусственным интеллектом с помощью вводящих в заблуждение подсказок, несанкционированные действия или утечки данных.

Google обновила свою Программу вознаграждения за обнаружение уязвимостей (VRP), чтобы отразить эволюцию исследований в области безопасности. С учетом того, что инструменты ИИ быстро выявляют базовые уязвимости, Google теперь будет уделять приоритетное внимание и вознаграждать результаты, демонстрирующие более высокий уровень технических знаний и представляющие значительную угрозу в реальном мире. Они также просят исследователей включать предлагаемые решения в свои отчеты об уязвимостях, а не просто указывать на проблемы.

Смотрите также

2026-05-06 11:48