Google上调Chrome内存漏洞基础奖励从最低500美元提高到2000美元最高2万美元

Google上调Chrome内存漏洞基础奖励，最高2万美元

Google日前发布公告，宣布调整Chrome漏洞奖励计划VRP，新规则立即生效。此次调整重点鼓励安全研究人员针对Google浏览器的内存破坏问题寻找漏洞。内存破坏漏洞的基础奖励从最低500美元提高到2000美元。浏览器、网络和GPU进程中经过证明的受控写入漏洞，最高可获20000美元奖励。

Chrome VRP是Google为浏览器安全设立的漏洞奖励机制。Google称，随着内部AI漏洞检测能力提升，奖励计划正在调整方向，鼓励安全研究员寻找自动化工具难以发现的问题。此次更新因此对内存破坏漏洞的奖励结构进行了更细分级。

在浏览器、网络和GPU进程中，奖励按漏洞类型和影响分级。读取或崩溃类漏洞最高奖励4000美元，写入及释放后使用类漏洞最高奖励10000美元。受控读取最高奖励10000美元，受控写入最高奖励20000美元。

渲染器进程中的写入和释放后使用类漏洞最高奖励8000美元。V8引擎沙箱漏洞均为5000美元，V8引擎的逻辑漏洞为4000美元。其他受沙箱保护进程的读取或崩溃类漏洞奖励2000美元，写入和释放后使用类漏洞奖励3000美元。

Google还要求内存安全报告必须能在Google的基础设施上复现。如果没有适用测试环境的报告，奖励金额可能仅限基础奖励。Google称，这个要求主要是将奖励和可复现、实际影响较大的漏洞对应起来。

除内存安全漏洞外，Chrome VRP还新增非内存安全漏洞奖励。S2中危问题若报告包含修复方案或直接促成问题修复，可以获得2000美元奖励。如果是影响较大的非内存安全沙箱逃逸漏洞，最高也提供20000美元奖励。

Google还恢复2000美元的Chrome Fuzzer Bonus，奖励开发并贡献新型模糊测试器的安全研究员。Google还新增年度社区奖项，例如最佳报告和最佳漏洞。随着AI漏洞检测能力提升，奖励计划将继续鼓励安全研究员寻找自动化工具难以发现的问题。