جوجل ترصد ربع مليون دولار لمكافآت ثغرات السيطرة الكاملة على السحابة

وسّعت شركة جوجل برنامج مكافآت الثغرات الأمنية السحابية الخاص بها (Cloud VRP) بإطلاق فئة مكافآت عليا جديدة تصل قيمتها إلى 250 ألف دولار، والمخصصة للثغرات المعمارية التي قد تؤدي إلى السيطرة الإدارية الشاملة على بيئاتها السحابية وتجاوز عزل العملاء.

شروط الحصول على المكافأة الكبرى

أوضحت جوجل أن المكافأة تستهدف الأبحاث الأمنية المعمارية المتقدمة التي تثبت القدرة على انتزاع امتيازات إدارة المشروعات والمؤسسات السحابية ('roles/owner') أو فرض تحكم كامل في إدارة الهوية والوصول (IAM) عبر أي مؤسسة أو مشروع داخل Google Cloud دون شروط وصول مسبقة. وللتأهل لهذه المكافأة، تشترط الشركة ألا يعتمد مسار الاستغلال على حسابات مسروقة، أو إمكانية وصول سابقة، أو أساليب الهندسة الاجتماعية والتفاعل البشري.

وتشمل معايير التقييم أيضاً الثغرات التي تتيح تنفيذ الشيفرات البرمجية عن بُعد (RCE) في نظام Borg، وهو البنية التحتية الإنتاجية الأساسية لمنظومة جوجل، أو الحصول على صلاحيات الجذر (Root-in-production).

قواعد اشتباك صارمة لمنع تعطيل الخدمات

نظراً لأن تنفيذ الشيفرات غير المصرح بها داخل نظام Borg يهدد استقرار الخدمات وسلامة بيانات المشتركين متعددي المستأجرين، شدد كريس بيتز، مدير أمن المعلومات في Google Cloud، على ضرورة التوقف التام عن الاختبارات بمجرد إثبات التنفيذ الأولي للشيفرة. وأكد أن أي محاولات لتصعيد الصلاحيات، أو استخراج بيانات اعتماد الإنتاج، أو التحرك الجانبي داخل الشبكة، تؤدي فوراً إلى استبعاد الباحث وإلغاء المكافأة.

ولحماية حسابات العملاء الفعليين من المخاطر التشغيلية أثناء اختبارات الاختراق، أشار مايكل كوت، قائد برنامج مكافآت الثغرات السحابية في جوجل، إلى تصميم آلية تحقق حتمية تُعرف بإثبات السيطرة (Proof-of-root) تعتمد على حساب خدمة مخصص، مما يتيح للباحثين تقديم إثبات تشفيري لوصولهم غير المصرح به ضد تلك الهوية دون المساس ببيانات المستخدمين.

أثر الذكاء الاصطناعي في الأبحاث الأمنية

أوضح كوت أن اكتشاف مثل هذه العيوب المعمارية وتجاوز عزل المستأجرين يجمع اليوم بين الحدس البشري والأدوات القائمة على الذكاء الاصطناعي والأنظمة الوكيلة (Agentic systems). وأظهرت بيانات جوجل أن الباحثين الجدد الذين يدمجون حدسهم الشخصي مع الأنظمة الوكيلة باتوا قادرين على اكتشاف ثغرات أكثر تعقيداً مقارنة بالسنوات السابقة، مما دفع الشركة إلى رفع قيمة الحوافز المالية لتواكب هذا التطور في قدرات الفحص والتحليل الهيكلي.