La empresa Google amplió su programa de recompensas por vulnerabilidades en la nube (Cloud VRP) con el lanzamiento de una nueva categoría de máxima recompensa que alcanza los 250 000 dólares, destinada a fallas arquitectónicas que puedan derivar en el control administrativo total de sus entornos en la nube y la vulneración del aislamiento de los clientes.
Condiciones para obtener la gran recompensa
Google explicó que la recompensa está dirigida a investigaciones de seguridad arquitectónica avanzada que demuestren la capacidad de arrebatar privilegios de administración de proyectos y organizaciones en la nube ('roles/owner') o de imponer un control total en la gestión de identidad y acceso (IAM) en cualquier organización o proyecto dentro de Google Cloud sin condiciones previas de acceso. Para calificar a esta recompensa, la empresa exige que la ruta de explotación no dependa de cuentas robadas, acceso previo, ingeniería social o interacción humana.
Los criterios de evaluación también incluyen vulnerabilidades que permitan la ejecución remota de código (RCE) en el sistema Borg, que es la infraestructura de producción principal del ecosistema de Google, o la obtención de privilegios de root en producción (Root-in-production).
Reglas estrictas de enfrentamiento para evitar la interrupción de servicios
Dado que la ejecución de código no autorizado dentro del sistema Borg amenaza la estabilidad de los servicios y la seguridad de los datos de los suscriptores multiinquilino, Chris Betz, director de seguridad de la información en Google Cloud, enfatizó la necesidad de detener por completo las pruebas tan pronto como se demuestre la ejecución inicial del código. Afirmó que cualquier intento de escalar privilegios, extraer credenciales de producción o realizar movimientos laterales dentro de la red provocará la descalificación inmediata del investigador y la anulación de la recompensa.
Para proteger las cuentas de clientes reales frente a riesgos operativos durante las pruebas de penetración, Michael Coates, líder del programa de recompensas por vulnerabilidades en la nube de Google, señaló el diseño de un mecanismo de verificación categórico conocido como prueba de control (Proof-of-root) basado en una cuenta de servicio dedicada, lo que permite a los investigadores presentar una prueba criptográfica de su acceso no autorizado frente a dicha identidad sin comprometer los datos de los usuarios.
El impacto de la inteligencia artificial en la investigación de seguridad
Coates explicó que el descubrimiento de tales defectos arquitectónicos y la vulneración del aislamiento de los inquilinos combina hoy en día la intuición humana con herramientas basadas en inteligencia artificial y sistemas basados en agentes (Agentic systems). Los datos de Google mostraron que los nuevos investigadores que combinan su intuición personal con los sistemas de agentes ahora son capaces de descubrir vulnerabilidades más complejas en comparación con años anteriores, lo que impulsó a la empresa a elevar el valor de los incentivos financieros para mantenerse al ritmo de esta evolución en las capacidades de análisis y exploración estructural.