Google เปิดตัวรางวัล Bug Bounty ใหม่สูงสุด 250,000 ดอลลาร์

Google ประกาศขยายโครงการ Cloud Vulnerability Reward Program (VRP) โดยเพิ่มรางวัลระดับสูงสุดใหม่มูลค่า 250,000 ดอลลาร์ สำหรับการค้นพบช่องโหว่ด้านความปลอดภัยที่อาจนำไปสู่การเข้าควบคุมระบบในระดับผู้ดูแลระบบได้อย่างสมบูรณ์

การจ่ายเงินรางวัลระดับพรีเมียร์นี้ถูกออกแบบมาเพื่อยกย่องการวิจัยเชิงสถาปัตยกรรมที่มีผลกระทบสูง โดยจะมอบให้กับนักวิจัยที่สามารถสาธิตการได้รับสิทธิ์ 'roles/owner' หรือการเข้าควบคุม IAM อย่างสมบูรณ์เหนือองค์กรหรือโปรเจกต์ใดๆ บน Google Cloud

เงื่อนไขสำคัญในการได้รับรางวัลนี้คือ เส้นทางการโจมตี (exploit path) จะต้องไม่ขึ้นอยู่กับการเข้าถึงโปรเจกต์ที่มีอยู่ก่อนแล้ว ไม่ใช้ข้อมูลประจำตัวที่ถูกเจาะไว้ก่อน และต้องไม่มีการโต้ตอบกับผู้ใช้หรือการใช้ Social Engineering เข้ามาเกี่ยวข้อง

นอกจากนี้ รายงานที่สามารถสาธิตการรันโค้ดจากระยะไกล (Remote Code Execution หรือ RCE) ใน Borg ซึ่งเป็นโครงสร้างพื้นฐานหลักของ Google หรือการเข้าถึงระดับ Root ในระบบ Production จะได้รับการพิจารณามอบรางวัล 250,000 root-in-cloud reward นี้ด้วยเช่นกัน

Chris Betz CISO ของ Google Cloud ระบุว่า เนื่องจากการรันโค้ดใน Borg มีความเสี่ยงที่จะกระทบต่อบริการและข้อมูลข้าม Tenant นักวิจัยต้องหยุดการทดสอบทันทีเมื่อสามารถรันโค้ดใดๆ ได้ โดยไม่อนุญาตให้มีการยกระดับสิทธิ์ การดึงข้อมูลประจำตัว หรือการเคลื่อนที่ในเครือข่าย (Lateral Movement) ซึ่งหากฝ่าฝืนจะถูกตัดสิทธิ์ทันที

ทาง Google ได้เพิ่มเกณฑ์การตรวจสอบ root-in-cloud validation criteria ในหน้าเว็บไซต์ Cloud VRP เพื่ออธิบายรายละเอียดการมอบรางวัล หากพบว่าช่องโหว่ดังกล่าวสามารถนำไปสู่การยึดครอง Tenant หรือโปรเจกต์ได้อย่างสมบูรณ์

ด้าน Michael Cote หัวหน้าโครงการรางวัลช่องโหว่ของ Google Cloud ให้ความเห็นว่านักวิจัยรุ่นใหม่ที่ใช้สัญชาตญาณร่วมกับเครื่องมือ AI หรือระบบ Agentic สามารถค้นพบ Bug ที่น่าสนใจได้มากขึ้น โดยการค้นหาช่องโหว่ระดับ Root-in-Cloud นี้จำเป็นต้องมีความเข้าใจเชิงสถาปัตยกรรมที่ลึกซึ้ง

ทั้งนี้ เพื่อความปลอดภัย Google ได้กำหนดกฎการทดสอบที่ชัดเจน โดยห้ามไม่ให้นักวิจัยทดสอบ Exploit กับโปรเจกต์จริงของลูกค้า แต่ได้สร้างกลไกพิสูจน์สิทธิ์ผ่านบัญชีบริการที่กำหนดไว้ เพื่อให้นักวิจัยสามารถพิสูจน์การเข้าถึงที่ไม่ได้รับอนุญาตได้ด้วยวิธีการทางรหัสผ่าน (Cryptographically)