谷歌宣布立即调整 Chrome 漏洞奖励计划（VRP），内存破坏漏洞的基础奖励从最低 500 美元提高到 2,000 美元。这是此次调整中最直接的变化，涨幅达到 4 倍。

按照新规则，浏览器、网络和 GPU 进程中经过证明的受控写入漏洞，最高可获 20,000 美元奖励。谷歌希望借此鼓励安全研究人员寻找自动化工具难以发现的问题。

打开网易新闻 查看精彩图片

不同漏洞，不同价码

此次调整对不同类型和不同进程中的漏洞给出了明确的奖励区间。浏览器、网络和 GPU 进程中，读取或崩溃类漏洞最高奖励 4,000 美元，写入及释放后使用类漏洞最高奖励 10,000 美元，受控读取最高 10,000 美元，受控写入最高 20,000 美元。

渲染器进程中的写入和释放后使用类漏洞最高奖励 8,000 美元。V8 引擎沙箱漏洞均为 5,000 美元，V8 引擎的逻辑漏洞为 4,000 美元。其他受沙箱保护进程的读取或崩溃类漏洞奖励 2,000 美元，写入和释放后使用类漏洞奖励 3,000 美元。

复现是拿钱的前提

打开网易新闻 查看精彩图片

谷歌要求内存安全报告必须能在谷歌的基础设施上复现。如果没有适用测试环境的报告，奖励金额可能仅限基础奖励。谷歌称这个要求主要是将奖励和可复现、实际影响较大的漏洞对应起来。

Chrome VRP 计划还新增了非内存安全漏洞奖励。S2 中危问题若报告包含修复方案或直接促成问题修复，可以获得 2,000 美元奖励。如果是影响较大的非内存安全沙箱逃逸漏洞，最高也提供 20,000 美元奖励。

此外，谷歌恢复 2,000 美元的 Chrome Fuzzer Bonus，奖励开发并贡献新型模糊测试器的安全研究员。谷歌还新增年度社区奖项，例如最佳报告和最佳漏洞。

谷歌称，随着内部 AI 漏洞检测能力提升，奖励计划正在调整方向，鼓励安全研究员寻找自动化工具难以发现的问题。谷歌内部正在使用 AI 发掘各种组件的漏洞，不过总有些问题还得靠人工发掘。