Googleは、同社の脆弱性報奨金プログラム（VRP）の年次レビューによると、2025年中にさまざまな国の700人を超えるセキュリティ研究者へ1,700万ドル超を支払った。この金額はプログラム史上、年間として最高額であり、2024年と比べて40％超増加している。これは、製品やサービスの脆弱性の発見と対処において、Googleが外部研究者コミュニティに引き続き依存していることを示している。
2025年の成果は、2010年に始まり、それ以来プログラムの対象範囲と報奨金の仕組みを継続的に拡大してきた同プログラムの15周年と時を同じくして発表された。Googleは、外部研究者の参加が製品とユーザーの安全性およびセキュリティの向上に貢献するとともに、セキュリティ研究コミュニティがこうしたプログラムを受け入れていることを反映していると述べた。
AI専用の部門
Googleは2025年、AI脆弱性報奨金専用のプログラムを開始した。それ以前、この分野はAbuse VRPに含まれていた。両プログラムを分離したことに伴い、ルールも改善され、テストの範囲と報奨金額について研究者がより明確に理解できるようになった。
また、Chrome VRPには、Chrome内のAI機能で発見された問題を対象とする報奨金カテゴリーが追加された。これにより、AIはGoogleの脆弱性報奨金プログラムにおいて独立した中心分野となると同時に、Chromeの報奨金の対象にも含まれることになった。
OSV-SCALIBR向け報奨金とセキュリティイベント
同社は、オープンソースツールOSV-SCALIBRのアップデートを対象とする報奨金プログラムも開始した。これは、ソフトウェアの依存関係における脆弱性を発見するGoogleのツールである。このプログラムは、コンポーネントのインベントリ作成、脆弱性の発見、シークレットの検出を支援する新機能をツールに提供し、スキャン能力を拡張する貢献者に報奨金を支払う。Googleは、ユーザーからの貢献により、社内で漏えいした複数のシークレットをすでに発見し、対処できたと説明した。
10月、Googleはサイバーセキュリティ啓発月間のキャンペーンの一環として、メキシコシティでESCAL8カンファレンスを開催した。同カンファレンスでは、学生向けのinit.g(mexico)ワークショップ、HACKCELER8コンテストの決勝戦、メキシコ政府関係者を対象としたSafer with Googleセミナーが行われた。
bugSWATイベントの成果
招待者限定のライブハッキングイベントであるbugSWATは、2025年に複数回開催された。発表された成果は次のとおりである。
- 4月に東京で開催されたAI bugSWAT：70件超の報告、報奨金は40万ドル超。
- 6月にサニーベールで開催されたCloud bugSWAT：130件の報告、報奨金は160万ドル。
- 8月にラスベガスで開催されたbugSWAT：77件の報告、報奨金は38万ドル。
- メキシコシティで開催されたESCAL8カンファレンス内のbugSWAT Mexico：107件の報告、その時点までの報奨金総額は56万6,000ドル。対象分野はAI、Android、Cloud。
2026年のプログラム計画
Googleは2026年に複数のbugSWATイベントを開催するとともに、ESCAL8カンファレンスの新たな回も開催する予定である。同社は、より広範な目標として、新たな脅威への備え、変化する技術への適応、外部研究者コミュニティとの協力による製品とサービスのセキュリティ態勢の強化を挙げた。
Googleによると、Android、Abuse、AI、Cloud、Chrome、OSSの各プログラムに関する追加の詳細は、影響の大きい脆弱性の報告や主要な研究分野を含め、Security Engineeringブログの拡張版レビューで確認できる。