В 2025 году Google выплатила более 17 миллионов долларов более чем 700 исследователям безопасности из разных стран, согласно ежегодному обзору её программы вознаграждений за уязвимости (VRP). Это крупнейшая годовая сумма за всю историю программы, а также более чем на 40% больше показателя 2024 года, что свидетельствует о продолжающейся зависимости Google от внешнего сообщества исследователей при обнаружении и устранении уязвимостей в её продуктах и сервисах.
Итоги 2025 года были представлены одновременно с пятнадцатой годовщиной программы, которая началась в 2010 году и с тех пор постоянно расширяла охват программ и механизмы вознаграждений. Google заявила, что участие внешних исследователей способствует повышению безопасности и защищённости её продуктов и пользователей, а также отражает признание этих программ со стороны сообщества исследователей безопасности.
Отдельный трек для искусственного интеллекта
В течение 2025 года Google запустила отдельную программу вознаграждений за уязвимости в системах искусственного интеллекта, хотя ранее эта область регулировалась в рамках программы Abuse VRP. Разделение двух программ сопровождалось улучшениями правил, призванными обеспечить исследователям большую ясность относительно охвата тестирования и размеров вознаграждений.
Программа Chrome VRP также добавила категории вознаграждений за проблемы, обнаруженные в функциях искусственного интеллекта внутри Chrome. Таким образом, искусственный интеллект стал самостоятельным направлением в программе Google по вознаграждению за уязвимости, сохранившись при этом в рамках вознаграждений Chrome.
Вознаграждения за инструмент OSV-SCALIBR и мероприятия по безопасности
Компания также запустила программу вознаграждений за обновления для инструмента OSV-SCALIBR с открытым исходным кодом — инструмента Google для обнаружения уязвимостей в зависимостях программного обеспечения. Программа вознаграждает участников, которые предлагают новые дополнения к инструменту, помогающие ему инвентаризировать компоненты, обнаруживать уязвимости или выявлять секреты, расширяя его возможности сканирования. Google пояснила, что пользовательские вклады уже помогли ей обнаружить и устранить ряд утёкших секретов внутри компании.
В октябре Google провела в Мехико конференцию ESCAL8 в рамках кампании, посвящённой месяцу осведомлённости о кибербезопасности. В конференцию вошли воркшоп init.g(mexico) для студентов, финал конкурса HACKCELER8 и семинар Safer with Google, ориентированный на мексиканских государственных чиновников.
Итоги мероприятий bugSWAT
В 2025 году прошло несколько выпусков мероприятия bugSWAT — очного хакерского мероприятия для приглашённых участников. Были объявлены следующие результаты:
- Мероприятие AI bugSWAT в Токио в апреле: более 70 отчётов и вознаграждения на сумму свыше 400 тысяч долларов.
- Мероприятие Cloud bugSWAT в Саннивейле в июне: 130 отчётов и вознаграждения на сумму 1,6 миллиона долларов.
- Мероприятие bugSWAT в Лас-Вегасе в августе: 77 отчётов и вознаграждения на сумму 380 тысяч долларов.
- Мероприятие bugSWAT Mexico в рамках конференции ESCAL8 в Мехико: 107 отчётов и общая сумма вознаграждений, достигшая к тому моменту 566 тысяч долларов; охватывались области искусственного интеллекта, Android и Cloud.
Планы программы на 2026 год
Google планирует провести несколько мероприятий bugSWAT в течение 2026 года, а также организовать новый выпуск конференции ESCAL8. Компания заявила, что её более широкие цели заключаются в подготовке к возникающим угрозам, адаптации к меняющимся технологиям и укреплении безопасности своих продуктов и сервисов во взаимодействии с внешним сообществом исследователей.
Google отмечает, что дополнительные сведения о программах Android, Abuse, AI, Cloud, Chrome и OSS, включая отчёты о наиболее значимых уязвимостях и ключевые направления исследований, доступны в расширенной версии обзора в блоге Security Engineering.