A Google expandiu o seu programa de recompensas por vulnerabilidades na nuvem (Cloud VRP) com o lançamento de uma nova categoria de recompensa máxima de até 250 mil dólares, destinada a falhas arquiteturais que possam levar ao controle administrativo abrangente dos seus ambientes de nuvem e à violação do isolamento de clientes.
Condições para obter a grande recompensa
A Google explicou que a recompensa visa pesquisas de segurança arquitetural avançada que demonstrem a capacidade de obter privilégios de gerenciamento de projetos e organizações em nuvem ('roles/owner') ou impor controle total de gerenciamento de identidade e acesso (IAM) em qualquer organização ou projeto dentro do Google Cloud sem condições prévias de acesso. Para se qualificar para esta recompensa, a empresa exige que o caminho de exploração não dependa de contas roubadas, acesso anterior ou métodos de engenharia social e interação humana.
Os critérios de avaliação também incluem vulnerabilidades que permitam a execução remota de código (RCE) no sistema Borg, que é a infraestrutura de produção básica para o ecossistema da Google, ou a obtenção de privilégios de root em produção (Root-in-production).
Regras de engajamento rigorosas para evitar a interrupção de serviços
Como a execução de código não autorizado dentro do sistema Borg ameaça a estabilidade dos serviços e a segurança dos dados de assinantes multilocatários, Chris Betz, diretor de segurança da informação no Google Cloud, enfatizou a necessidade de interromper totalmente os testes assim que a execução inicial do código for demonstrada. Ele enfatizou que quaisquer tentativas de escalar privilégios, extrair credenciais de produção ou realizar movimentos laterais dentro da rede resultarão na desqualificação imediata do pesquisador e no cancelamento da recompensa.
Para proteger as contas de clientes reais contra riscos operacionais durante os testes de intrusão, Michael Coates, líder do programa de recompensas por vulnerabilidades na nuvem da Google, apontou para o design de um mecanismo de verificação determinístico conhecido como prova de controle (Proof-of-root) baseado em uma conta de serviço dedicada, permitindo que os pesquisadores forneçam uma prova criptográfica de seu acesso não autorizado contra essa identidade sem comprometer os dados dos usuários.
O impacto da inteligência artificial na pesquisa de segurança
Coates explicou que a descoberta de tais falhas arquiteturais e a violação do isolamento de locatários combina hoje a intuição humana com ferramentas baseadas em inteligência artificial e sistemas baseados em agentes (Agentic systems). Os dados da Google mostraram que novos pesquisadores que integram sua intuição pessoal com sistemas baseados em agentes agora são capazes de descobrir vulnerabilidades mais complexas em comparação com anos anteriores, o que levou a empresa a aumentar o valor dos incentivos financeiros para acompanhar esse desenvolvimento nas capacidades de escaneamento e análise estrutural.