Google zahlte im Jahr 2025 mehr als 17 Millionen US-Dollar an über 700 Sicherheitsforscher in verschiedenen Ländern, wie aus einer jährlichen Überprüfung seines Vulnerability-Reward-Programms (VRP) hervorgeht. Dies ist der höchste Jahresbetrag in der Geschichte des Programms und zugleich ein Anstieg von mehr als 40 % gegenüber 2024. Die Zahl zeigt, dass Google bei der Entdeckung und Behebung von Schwachstellen in seinen Produkten und Diensten weiterhin auf die externe Forschungsgemeinschaft setzt.
Die Ergebnisse von 2025 fielen mit dem 15. Jubiläum des Programms zusammen. Es wurde 2010 gestartet und hat seitdem seinen Programmumfang und seine Prämienmechanismen kontinuierlich erweitert. Google erklärte, dass die Beteiligung externer Forscher zur Verbesserung der Sicherheit seiner Produkte und Nutzer beitrage und zugleich die Akzeptanz dieser Programme in der Sicherheitsforschungsgemeinschaft widerspiegle.
Eigener Pfad für künstliche Intelligenz
Google startete 2025 ein eigenes Prämienprogramm für Schwachstellen in künstlicher Intelligenz, nachdem dieser Bereich zuvor im Abuse VRP organisiert worden war. Die Trennung der beiden Programme ging mit Verbesserungen der Regeln einher, um Forschern mehr Klarheit über den Testumfang und die Höhe der Prämien zu geben.
Außerdem fügte das Chrome VRP Prämienkategorien für Probleme hinzu, die in KI-Funktionen innerhalb von Chrome entdeckt werden. Damit wurde künstliche Intelligenz zu einem eigenständigen Schwerpunkt im Vulnerability-Reward-Programm von Google und zugleich in den Umfang der Chrome-Prämien aufgenommen.
Prämien für das Tool OSV-SCALIBR und Sicherheitsveranstaltungen
Das Unternehmen startete außerdem ein Prämienprogramm für Aktualisierungen des Open-Source-Tools OSV-SCALIBR, eines Google-Tools zur Erkennung von Schwachstellen in Softwareabhängigkeiten. Das Programm belohnt Mitwirkende, die neue Erweiterungen für das Tool einreichen und damit dessen Fähigkeiten zur Bestandsaufnahme von Komponenten, zur Erkennung von Schwachstellen oder zur Aufspürung von Geheimnissen verbessern. Google erklärte, dass Beiträge von Nutzern bereits dabei geholfen hätten, mehrere intern durchgesickerte Geheimnisse zu entdecken und zu beheben.
Im Oktober veranstaltete Google in Mexiko-Stadt die Konferenz ESCAL8 im Rahmen der Kampagne zum Monat der Sensibilisierung für Cybersicherheit. Die Konferenz umfasste den Workshop init.g(mexico) für Studierende, das Finale des Wettbewerbs HACKCELER8 sowie das an mexikanische Regierungsvertreter gerichtete Safer with Google Forum.
Ergebnisse der bugSWAT-Veranstaltungen
Die bugSWAT-Veranstaltung, ein für geladene Gäste bestimmtes Live-Hacking-Event, fand 2025 in mehreren Ausgaben statt. Zu den bekannt gegebenen Ergebnissen gehörten:
- AI bugSWAT in Tokio im April: mehr als 70 Meldungen und Prämien von über 400.000 US-Dollar.
- Cloud bugSWAT in Sunnyvale im Juni: 130 Meldungen und Prämien in Höhe von 1,6 Millionen US-Dollar.
- bugSWAT in Las Vegas im August: 77 Meldungen und Prämien in Höhe von 380.000 US-Dollar.
- bugSWAT Mexico im Rahmen der ESCAL8-Konferenz in Mexiko-Stadt: 107 Meldungen und bis zu diesem Zeitpunkt Gesamtprämien in Höhe von 566.000 US-Dollar; die Bereiche künstliche Intelligenz, Android und Cloud waren eingeschlossen.
Pläne des Programms für 2026
Google beabsichtigt, 2026 mehrere bugSWAT-Veranstaltungen zu organisieren und eine neue Ausgabe der Konferenz ESCAL8 abzuhalten. Das Unternehmen erklärte, seine übergeordneten Ziele bestünden darin, sich auf neu entstehende Bedrohungen vorzubereiten, sich an sich verändernde Technologien anzupassen und gemeinsam mit der externen Forschungsgemeinschaft die Sicherheitslage seiner Produkte und Dienste zu verbessern.
Google weist darauf hin, dass weitere Einzelheiten zu den Programmen Android, Abuse, AI, Cloud, Chrome und OSS – darunter Berichte über Schwachstellen mit großer Wirkung und zentrale Forschungsbereiche – in der erweiterten Fassung der Überprüfung im Security-Engineering-Blog verfügbar sind.