谷歌公司扩大了其云漏洞赏金计划（Cloud VRP），推出了一个最高达25万美元的新高级奖励类别，专门用于奖励可能导致对其云环境进行全面管理控制以及绕过客户隔离的架构漏洞。
获得最高奖励的条件
谷歌解释说，该奖励针对的是高级架构安全研究，这些研究证明了能够在无需预先访问条件的情况下，夺取云项目和组织管理权限（'roles/owner'）或在Google Cloud内的任何组织或项目中强行实施对身份和访问管理（IAM）的完全控制。为了获得该奖励的资格，该公司要求利用路径不得依赖于被盗账户、先前获得的访问权限，或者社会工程学和人类交互方法。
评估标准还包括允许在谷歌生态系统的核心生产基础设施Borg系统中执行远程代码（RCE），或获得生产环境根权限（Root-in-production）的漏洞。
防止服务中断的严格交战规则
由于在Borg系统内执行未经授权的代码会威胁到服务稳定性和多租户客户的数据安全，Google Cloud首席信息安全官克里斯·贝茨（Chris Betz）强调，一旦证明了代码的初步执行，必须完全停止测试。他证实，任何提升权限、提取生产凭据或在网络内部进行横向移动的尝试，都将导致研究人员被立即除名并取消奖励。
为了在渗透测试期间保护实际客户账户免受运营风险的影响，谷歌云漏洞赏金计划负责人迈克尔·科特（Michael Coates）指出，设计了一种被称为控制证明（Proof-of-root）的确定性验证机制，该机制依赖于专用的服务账户，允许研究人员针对该身份提交其未授权访问的加密证明，而不会损害用户数据。
人工智能对安全研究的影响
科特解释说，发现此类架构缺陷和绕过租户隔离现在结合了人类直觉、基于人工智能的工具以及代理系统（Agentic systems）。谷歌的数据显示，将个人直觉与代理系统相结合的新研究人员现在能够发现比往年更复杂的漏洞，这促使该公司提高财务激励额度，以跟上检查和结构分析能力的发展。