Google a élargi son programme de primes aux vulnérabilités du cloud (Cloud VRP) en lançant une nouvelle catégorie de récompense maximale atteignant 250 000 dollars, dédiée aux failles architecturales susceptibles d'entraîner un contrôle administratif global sur ses environnements cloud et de contourner l'isolement des clients.
Conditions pour l'obtention de la prime majeure
Google a précisé que la prime cible la recherche en sécurité architecturale avancée qui démontre la capacité à s'emparer de privilèges de gestion de projets et d'organisations cloud ('roles/owner') ou à imposer un contrôle total de la gestion des identités et des accès (IAM) au sein de n'importe quelle organisation ou projet dans Google Cloud sans conditions d'accès préalables. Pour être éligible à cette prime, l'entreprise exige que le chemin d'exploitation ne dépende pas de comptes volés, d'un accès antérieur, ou de méthodes d'ingénierie sociale et d'interaction humaine.
Les critères d'évaluation incluent également les failles permettant l'exécution de code à distance (RCE) dans le système Borg, qui est l'infrastructure de production fondamentale de l'écosystème Google, ou l'obtention de privilèges root en production (Root-in-production).
Règles d'engagement strictes pour éviter l'interruption des services
Étant donné que l'exécution de code non autorisé au sein du système Borg menace la stabilité des services et l'intégrité des données des abonnés multi-locataires, Chris Betz, directeur de la sécurité des informations chez Google Cloud, a insisté sur la nécessité d'arrêter complètement les tests dès la démonstration de l'exécution initiale du code. Il a souligné que toute tentative d'escalade de privilèges, d'extraction d'identifiants de production ou de mouvement latéral au sein du réseau entraîne immédiatement l'exclusion du chercheur et l'annulation de la prime.
Afin de protéger les comptes des clients réels contre les risques opérationnels lors des tests d'intrusion, Michael Coates, responsable du programme de primes pour les vulnérabilités du cloud chez Google, a indiqué la conception d'un mécanisme de vérification impératif connu sous le nom de preuve de racine (Proof-of-root) reposant sur un compte de service dédié, permettant ainsi aux chercheurs de fournir une preuve cryptographique de leur accès non autorisé contre cette identité sans compromettre les données des utilisateurs.
Impact de l'intelligence artificielle sur la recherche en sécurité
Koates a expliqué que la découverte de tels défauts architecturaux et le contournement de l'isolement des locataires combinent aujourd'hui l'intuition humaine et des outils basés sur l'intelligence artificielle ainsi que des systèmes d'agents (Agentic systems). Les données de Google ont montré que les nouveaux chercheurs qui intègrent leur intuition personnelle aux systèmes d'agents sont désormais capables de découvrir des failles plus complexes par rapport aux années précédentes, ce qui a poussé l'entreprise à augmenter la valeur des incitations financières pour s'adapter à cette évolution des capacités d'analyse et d'examen structurel.