„Um diese erstklassige Prämie zu erhalten, müssen Sie vollständige administrative Kontrolle nachweisen – das Äquivalent von ‚roles/owner’ oder vollständiger IAM-Kontrolle – über beliebige Google-Cloud-Organisationen oder -Projekte, ohne vorherigen Zugang und ohne spezielle Projekteinrichtung", erklärte Chris Betz, Chief Information Security Officer von Google Cloud.
Ebenfalls berücksichtigt werden Meldungen, die Remote Code Execution in Googles zugrundeliegender Produktionsinfrastruktur (Borg) oder Root-in-Prod nachweisen: Diese werden laut Betz automatisch vom Google-Cloud-VRP-Gremium auf ihre Eignung für die Root-in-Cloud-Stufe geprüft.
Nicht qualifiziert sind Exploits, die auf vorherigem Zugang zum Opferprojekt, kompromittierten Zugangsdaten, Social Engineering oder Nutzerinteraktion beruhen. Wer Codeausführung auf Googles Produktionsinfrastruktur erreicht, muss die Untersuchung sofort beenden – weitere Rechteausweitung, das Erbeuten von Produktions-Zugangsdaten oder laterale Bewegung sind untersagt und führen zur Disqualifikation.
„Hohe Anreize erfordern klare, sichere Verhaltensregeln. Wir wollen auf keinen Fall, dass Forscher Exploits gegen echte Kundenprojekte testen", sagte Michael Cote, Leiter des Cloud VRP. „Stattdessen haben wir einen deterministischen Proof-of-Root-Mechanismus mit einem dafür vorgesehenen Dienstkonto geschaffen. Forscher können unbefugten Zugriff auf diese Identität kryptografisch nachweisen."
Weitere Details zum Google Cloud VRP, darunter Endpunkt-Spezifikationen, JSON-Payloads und CLI-Beispiele, stehen auf der Regelseite des Programms.
Zuvor hatte Google im Oktober die Annahme von Einreichungen für sein Open Source Software Vulnerability Rewards Program (OSS VRP) ausgesetzt, nachdem eine Flut KI-generierter Meldungen eingegangen war.
Seit dem Start seines ersten Vulnerability Reward Program im Jahr 2010 hat Google weltweit Tausende Sicherheitsforscher mit insgesamt mehr als 81,6 Millionen US-Dollar belohnt. 2025 schüttete das Unternehmen mit 17,1 Millionen US-Dollar an über 700 Forscher einen Rekordbetrag aus – 40 Prozent mehr als 2024, als es insgesamt 12 Millionen US-Dollar waren.