Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Programy bug bounty od lat pozostają jednym z kluczowych elementów dojrzałej strategii bezpieczeństwa największych dostawców technologii. Ich celem jest wynagradzanie badaczy za odpowiedzialne zgłaszanie podatności, zanim zostaną wykorzystane w rzeczywistych atakach. Google ogłosił istotne zmiany w zasadach swoich programów Vulnerability Reward Program dla Androida i Chrome, znacząco podnosząc maksymalne stawki za najbardziej zaawansowane scenariusze eksploatacji.
Największe zainteresowanie budzi nowy próg dla wybranych łańcuchów ataku na Androida. W najbardziej wymagających przypadkach nagroda może sięgnąć 1,5 mln dolarów, co pokazuje, jak dużą wartość firma przypisuje wykrywaniu pełnych, praktycznych ścieżek kompromitacji nowoczesnych urządzeń.
W skrócie
- Google zwiększa maksymalne nagrody w programach bug bounty dla Androida i Chrome.
- Najwyższa stawka wynosi 1,5 mln dolarów za wybrane zero-click full-chain exploity przeciwko Pixel Titan M2 z persistence.
- Dla podobnego scenariusza bez utrzymania trwałości kompromitacji przewidziano do 750 tys. dolarów.
- W Chrome pełny łańcuch exploitu działający na aktualnych systemach może zostać nagrodzony kwotą do 250 tys. dolarów.
- Google ogranicza znaczenie mniej złożonych zgłoszeń i mocniej premiuje praktyczną exploitowalność.
Kontekst / historia
Decyzja Google wpisuje się w szerszą zmianę realiów rynku exploit research. Nowoczesne platformy mobilne i przeglądarki są dziś chronione przez wielowarstwowe mechanizmy bezpieczeństwa, takie jak sandboxing, izolacja procesów, hardening pamięci czy dedykowane układy ochronne. W efekcie pojedyncze błędy coraz rzadziej wystarczają do osiągnięcia pełnej kompromitacji, a największą wartość mają wieloetapowe łańcuchy ataku.
Na decyzję wpływa także rosnąca rola narzędzi AI, które obniżają koszt przygotowywania długich opisów i raportów, ale nie zastępują rzeczywistej wartości technicznej. Google sygnalizuje więc, że chce nagradzać przede wszystkim odkrycia o wysokim wpływie operacyjnym, a nie rozbudowaną formę samego zgłoszenia.
Zmiany ogłoszono po rekordowym dla firmy roku 2025 pod względem wypłat bug bounty. Google poinformował, że wypłacił ponad 17,1 mln dolarów 747 badaczom, a łączna wartość nagród od startu programu w 2010 roku przekroczyła 81,6 mln dolarów.
Analiza techniczna
Najwyższy nowy próg, czyli 1,5 mln dolarów, dotyczy scenariusza określanego jako zero-click Pixel Titan M2 full-chain exploit with persistence. W praktyce oznacza to kompletny, wieloetapowy łańcuch ataku, który nie wymaga żadnej interakcji użytkownika, prowadzi do skutecznej kompromitacji chronionego środowiska i pozwala utrzymać dostęp także po zmianie stanu urządzenia lub restarcie.
Tego typu exploit należy do najbardziej złożonych kategorii we współczesnym offensive security. Zero-click eliminuje konieczność kliknięcia, otwarcia pliku czy wykonania innej akcji przez ofiarę. Full-chain oznacza potrzebę połączenia wielu podatności lub obejść zabezpieczeń w jeden skuteczny ciąg działań. Persistence dodatkowo podnosi poziom trudności, ponieważ wymaga mechanizmu trwałego utrzymania kompromitacji.
Kluczowe znaczenie ma tu także Titan M2, czyli układ bezpieczeństwa stosowany w urządzeniach Pixel. Komponent ten wspiera zaufane operacje bezpieczeństwa, ochronę integralności, model secure boot i zabezpieczenia związane z kluczami kryptograficznymi. Skuteczny atak na taki element ma szczególną wartość z perspektywy zarówno obrony, jak i potencjalnych działań ofensywnych.
Równolegle Google aktualizuje zasady dla Chrome. Maksymalna nagroda za full-chain browser process exploit działający na aktualnym systemie operacyjnym i nowoczesnym sprzęcie ma wynosić do 250 tys. dolarów. Dodatkowe premie przewidziano za obejścia mechanizmu MiraclePtr, który wzmacnia bezpieczeństwo operacji pamięci i utrudnia wykorzystanie określonych klas błędów związanych z korupcją pamięci.
Firma zmienia również oczekiwania wobec samych zgłoszeń. W przypadku Chrome większy nacisk ma być położony na zwięzłe raporty zawierające dowód błędu i niezbędne artefakty techniczne. W Androidzie zawężono z kolei obszar zainteresowania dla luk w jądrze Linux do komponentów utrzymywanych przez Google, chyba że badacz potrafi wykazać realną możliwość wykorzystania błędu na urządzeniu z Androidem.
Konsekwencje / ryzyko
Podniesienie maksymalnych stawek zwiększa konkurencyjność legalnego rynku odpowiedzialnego ujawniania podatności wobec szarego rynku brokerów exploitów. To ważny sygnał dla badaczy, że sprzedaż odkryć producentowi może być bardziej opłacalna także w przypadku bardzo zaawansowanych łańcuchów ataku.
Z perspektywy organizacji korzystających z Androida i Chrome zmiana ma pośrednio pozytywny charakter. Im większa motywacja do zgłaszania najbardziej krytycznych scenariuszy, tym większa szansa, że zostaną one wykryte i naprawione zanim trafią do aktywnych kampanii ofensywnych.
Jednocześnie sama wysokość nagród pokazuje skalę zagrożenia. Zero-click exploity i pełne łańcuchy kompromitacji pozostają jednymi z najgroźniejszych klas podatności, ponieważ mogą prowadzić do cichego przejęcia urządzenia, eskalacji uprawnień, kradzieży danych oraz długotrwałego utrzymania dostępu przez zaawansowanego przeciwnika.
Rekomendacje
- Utrzymywać możliwie krótki czas wdrażania aktualizacji Androida, Chrome i komponentów systemowych.
- Traktować urządzenia mobilne oraz przeglądarki jako krytyczne elementy powierzchni ataku.
- Rozwijać hardening endpointów, segmentację dostępu i monitorowanie anomalii na urządzeniach końcowych.
- Analizować kierunek zmian w dużych programach bug bounty, aby lepiej rozumieć priorytetowe klasy zagrożeń.
- Kalibrować własne programy bezpieczeństwa nie tylko według surowości błędów, ale także według realnej exploitowalności i wpływu biznesowego.
Podsumowanie
Google wyraźnie przestawia swoje programy bug bounty na wykrywanie najbardziej zaawansowanych i najbardziej wpływowych scenariuszy ataku. Podniesienie maksymalnej nagrody do 1,5 mln dolarów dla wybranych exploitów Androida pokazuje, że firma chce przyciągać badaczy zdolnych do ujawniania pełnych, praktycznych łańcuchów kompromitacji nowoczesnych urządzeń.
Równoległe zmiany dla Chrome i Androida odzwierciedlają też nową rzeczywistość branży, w której sztuczna inteligencja ułatwia tworzenie opisów, ale nie zastępuje realnej wartości technicznej. Dla całego sektora cyberbezpieczeństwa to czytelny sygnał, że walka o wykrywanie exploitów klasy zero-click i full-chain będzie tylko zyskiwać na znaczeniu.
Źródła
- https://www.bleepingcomputer.com/news/security/google-now-offers-up-to-15-million-for-some-android-exploits/
- https://bughunters.google.com/blog/evolving-the-android-chrome-vrps-for-the-ai-era
- https://www.bleepingcomputer.com/news/google/google-paid-171-million-for-vulnerability-reports-in-2025/
- https://security.googleblog.com/2010/11/rewarding-web-application-security.html