Google, bulut güvenlik açığı ödül programını (Cloud VRP), bulut ortamları üzerinde tam idari kontrol sağlanmasına ve müşteri izolasyonunun aşılmasına yol açabilecek mimari açıklar için ayrılmış, 250 bin dolara varan yeni bir üst ödül kategorisiyle genişletti.
Büyük Ödülü Almanın Şartları
Google, ödülün; önceden herhangi bir erişim koşulu olmaksızın, Google Cloud içindeki herhangi bir kuruluş veya projede bulut proje ve kuruluş yönetimi ayrıcalıklarını ('roles/owner') ele geçirme veya Eksiksiz Kimlik ve Erişim Yönetimi (IAM) kontrolü uygulama yeteneğini kanıtlayan gelişmiş mimari güvenlik araştırmalarını hedeflediğini açıkladı. Bu ödül için hak kazanmak üzere şirket, istismar yolunun çalınan hesaplara, önceki erişim imkanlarına veya sosyal mühendislik ve insan etkileşimi yöntemlerine dayanmamasını şart koşuyor.
Değerlendirme kriterleri ayrıca, Google ekosisteminin temel üretim altyapısı olan Borg sisteminde uzaktan kod yürütülmesine (RCE) olanak tanıyan veya üretimde root yetkileri (Root-in-production) elde edilmesini sağlayan açıkları da içeriyor.
Hizmet Kesintilerini Önlemek İçin Katı Etkileşim Kuralları
Borg sistemi içinde yetkisiz kod yürütmenin, hizmetlerin istikrarını ve çok kiracılı abone verilerinin güvenliğini tehdit etmesi nedeniyle, Google Cloud Bilgi Güvenliği Direktörü Chris Betz, kodun ilk yürütülmesi kanıtlanır kanıtlanmaz testlerin tamamen durdurulması gerektiğinin altını çizdi. Yetki yükseltme, üretim kimbilgilerini çıkarma veya ağ içinde yanal hareket etme yönündeki her türlü girişimin, araştırmacının derhal diskalifiye edilmesine ve ödülün iptal edilmesine yol açacağını vurguladı.
Sızma testleri sırasında gerçek müşteri hesaplarını operasyonel risklerden korumak amacıyla, Google Bulut Güvenlik Açığı Ödül Programı Lideri Michael Coates, araştırmacıların kullanıcı verilerine zarar vermeden yetkisiz erişimlerinin şifreli kanıtını bu kimliğe karşı sunmalarına olanak tanıyan, özel bir hizmet hesabına dayanan ve Kök Kanıtı (Proof-of-root) olarak bilinen kesin bir doğrulama mekanizmasının tasarlandığına işaret etti.
Güvenlik Araştırmalarında Yapay Zekanın Etkisi
Coates, bu tür mimari kusurların ve kiracı izolasyonunu aşmanın keşfinin bugün insan sezgisini, yapay zeka tabanlı araçları ve aracı sistemleri (Agentic systems) birleştirdiğini açıkladı. Google verileri, kişisel sezgilerini aracı sistemlerle entegre eden yeni araştırmacıların, önceki yıllara kıyasla daha karmaşık açıkları keşfetme yeteneğine kavuştuğunu gösterdi; bu durum şirketi, tarama ve yapısal analiz yeteneklerindeki bu gelişmeye ayak uydurmak için mali teşviklerin değerini artırmaya itti.