Google deja de escatimar en hackers: las recompensas por fallos de Chrome se cuadruplican

Google ha cambiado de opinión sobre reducir gastos en la búsqueda de vulnerabilidades en Chrome y de inmediato cuadruplicó los pagos básicos a los cazadores de fallos. En primavera la empresa recortó drásticamente las recompensas, pero medio año después las recuperó parcialmente. Sin embargo, no se apresura a restablecer las tarifas generosas anteriores.

El 13 de octubre Google anunció una revisión del Chrome Vulnerability Rewards Program (VRP). La recompensa base por errores relacionados con la corrupción de memoria aumentó de $500 a $2000. En abril la empresa redujo tanto los pagos por algunas categorías de vulnerabilidades que los investigadores se enfrentaron a una disminución de honorarios de diez veces. Las nuevas cantidades todavía son inferiores a las anteriores.

Ahora se puede ganar más por problemas graves en los procesos del navegador, en la pila de red y en el procesador gráfico. Por errores de lectura de memoria y caídas se prevén hasta $4000, por vulnerabilidades de escritura en memoria hasta $10 000. Si el investigador demuestra la posibilidad de escritura controlada a través del contenido de una página web, la recompensa puede alcanzar $20 000.

Hay tarifas separadas para el proceso de renderizado, que procesa el contenido de las páginas. Por errores de escritura en memoria y vulnerabilidades del tipo use-after-free ahora se pagan hasta $8000. Estas últimas ocurren cuando un programa sigue accediendo a una zona de memoria ya liberada. Los errores de lógica del motor JavaScript V8 se valoran en $4000, los problemas de su sandbox en $5000.

Google amplió la lista de hallazgos remunerados más allá de los errores de memoria. Por vulnerabilidades de riesgo medio (S2), no relacionadas con la corrupción de memoria, se contempla un pago fijo de $2000 si el informe incluye una corrección concreta o ayuda directamente a desarrollarla. Por métodos para escapar del sandbox del navegador, que no requieran explotar errores de memoria, se puede obtener hasta $20 000.

La compañía también devuelve la bonificación Chrome Fuzzer Bonus de $2000 por el desarrollo de nuevos fuzzers. Estas herramientas suministran automáticamente a los programas entradas inusuales, aleatorias o especialmente diseñadas, intentando provocar fallos. Además, Google planea otorgar premios especiales al final del año, incluidos los mejores informes y los hallazgos más interesantes.

Los cambios entraron en vigor de inmediato. Además, las nuevas tarifas se aplican no solo a los informes futuros. Todas las solicitudes presentadas después del 30 de abril de 2026 y que aún están pendientes de revisión, Google las evaluará ya según las reglas actualizadas. Los investigadores deben seguir enviando los informes a través de Google Bug Hunters, eligiendo el programa Chrome VRP.

La revisión de los pagos se produce en el contexto de la proliferación de herramientas de IA para buscar vulnerabilidades. Anteriormente Google suspendió la recepción de parte de los informes en el programa de recompensas por errores en código abierto debido a un flujo de solicitudes automáticas, la mayoría de las cuales resultaron inválidas. Ahora la compañía intenta fomentar investigaciones complejas sobre Chrome, manteniendo los requisitos de calidad de los hallazgos.