Компания Google расширила свою программу выплаты вознаграждений за уязвимости в облаке (Cloud VRP), запустив новую категорию высших наград стоимостью до 250 000 долларов. Она предназначена для архитектурных уязвимостей, которые могут привести к полному административному контролю над ее облачными средами и обходу изоляции клиентов.
Условия получения крупного вознаграждения
Google пояснила, че вознаграждение нацелено на передовые исследования в области архитектурной безопасности, которые доказывают способность перехватывать привилегии управления облачными проектами и организациями ('roles/owner') или навязывать полный контроль над управлением идентификацией и доступом (IAM) в любой организации или проекте внутри Google Cloud без предварительных условий доступа. Для получения права на это вознаграждение компания требует, чтобы путь эксплуатации не зависел от украденных учетных записей, предыдущего доступа, методов социальной инженерии и человеческого взаимодействия.
Критерии оценки также включают уязвимости, позволяющие выполнять удаленный код (RCE) в системе Borg, которая является основной производственной инфраструктурой экосистемы Google, или получать права root-в-производстве (Root-in-production).
Строгие правила взаимодействия для предотвращения сбоев в работе сервисов
Поскольку выполнение неавторизованного кода внутри системы Borg угрожает стабильности сервисов и безопасности данных мультиарендных подписчиков, Крис Питц, директор по информационной безопасности в Google Cloud, подчеркнул необходимость полного прекращения тестирования сразу после доказательства первоначального выполнения кода. Он подтвердил, что любые попытки эскалации привилегий, извлечения производственных учетных данных или латерального перемещения внутри сети приводят к немедленной дисквалификации исследователя и отмене вознаграждения.
Для защиты учетных записей реальных клиентов от операционных рисков во время тестирования на проникновение Майкл Коут, руководитель программы вознаграждений за облачные уязвимости в Google, указал на разработку детерминированного механизма проверки, известного как доказательство контроля (Proof-of-root), который опирается на выделенную учетную запись службы. Это позволяет исследователям предоставлять криптографическое доказательство своего несанкционированного доступа к этой учетной записи без ущерба для пользовательских данных.
Влияние искусственного интеллекта на исследования безопасности
Коут пояснил, что обнаружение таких архитектурных изъянов и обход изоляции арендаторов сегодня сочетают в себе человеческую интуицию и инструменты на базе искусственного интеллекта и агентских систем (Agentic systems). Данные Google показали, что новые исследователи, объединяющие свою личную интуицию с агентскими системами, теперь способны обнаруживать более сложные уязвимости по сравнению с предыдущими годами, что побудило компанию увеличить размер финансовых стимулов, чтобы идти в ногу с этим развитием возможностей сканирования и структурного анализа.