Google ofrece 250.000 dólares a hackers, pero la condición principal resulta sorprendentemente estricta

Google está dispuesta a pagar $250 000 por vulnerar la plataforma en la nube sin contraseñas robadas ni acceso previo. La empresa introdujo una nueva categoría de recompensas, Root-in-Cloud, destinada a investigadores capaces de encontrar fallos fundamentales en la seguridad de Google Cloud.

La condición principal para recibir la recompensa máxima es el control total de un proyecto u organización arbitraria de Google Cloud. El investigador debe obtener privilegios administrativos equivalentes al rol roles/owner, o control total sobre el sistema de gestión de acceso IAM. Además, el ataque debe funcionar sin configuración especial del proyecto.

Las normas excluyen escenarios con credenciales robadas, interceptadas o divulgadas por error. No se puede usar acceso previo, engañar a usuarios ni la ingeniería social. A Google le interesan sobre todo errores de arquitectura que permitan eludir el aislamiento entre clientes de la nube o aprovechar defectos lógicos complejos en varios servicios.

Para confirmar la intrusión, Google ha previsto un mecanismo especial llamado proof-of-root. El investigador debe probar criptográficamente el acceso no autorizado a una cuenta de servicio designada. Este enfoque permite verificar el resultado sin atacar proyectos de clientes reales ni poner en riesgo sistemas en producción. Las condiciones del programa limitan estrictamente las acciones permitidas.

Existen reglas específicas para la infraestructura Borg, que soporta los sistemas en producción de Google. Si un investigador logra la ejecución remota de código, debe detener inmediatamente los experimentos posteriores. Está prohibido elevar privilegios, extraer credenciales de trabajo o moverse entre sistemas. La violación de estas normas conllevará la descalificación.

Los hallazgos confirmados relacionados con la ejecución de código en Borg o la obtención de acceso root en el entorno de producción se enviarán automáticamente a revisión del comité de Cloud VRP. Los expertos evaluarán si el punto de entrada original permite apoderarse por completo de un proyecto arbitrario. El mero hecho de ejecutar código no garantiza el pago de $250 000.

Las nuevas normas de recompensas se presentaron en el contexto del fuerte aumento de la búsqueda automatizada de vulnerabilidades. El responsable de Cloud VRP, Michael Cote, dijo que en los últimos 18 meses el número de informes confirmados se mantuvo estable, aunque el volumen total de solicitudes aumentó considerablemente. Los evaluadores encuentran cada vez más la necesidad de separar problemas reales de conclusiones erróneas generadas por IA.

Google pretende apoyar a los investigadores que combinan la experiencia humana con las capacidades de agentes de IA. La empresa ya ha afrontado las consecuencias de la automatización masiva y recientemente suspendió la recepción de parte de los informes sobre vulnerabilidades de software de código abierto. Ahora los hallazgos complejos que no se pueden obtener con una sola ejecución de un escáner adquieren un valor especial.

Otro problema está relacionado con la velocidad de publicación de vulnerabilidades. Según Google, las redes neuronales ayudan a los atacantes a convertir más rápido errores conocidos en explotaciones funcionales. La empresa insta a los investigadores a coordinar la divulgación de hallazgos con los desarrolladores y a los defensores a aplicar correcciones con mayor rapidez. Anteriormente Google ya aumentó los pagos por vulnerabilidades de Chrome.