谷歌上调Chrome内存漏洞基础奖励 从最低500美元提高到2,000美元 最高2万美元

谷歌日前发布公告宣布调整 Chrome 漏洞奖励计划 VRP，新规则宣布立即生效，鼓励安全研究人员针对谷歌浏览器的内存破坏问题寻找漏洞。此次更新后，内存破坏漏洞的基础奖励从最低 500 美元提高到 2,000 美元，而浏览器、网络和 GPU 进程中经过证明的受控写入漏洞最高可获 20,000 美元奖励。



奖励金额按照漏洞类型和影响分级：

浏览器、网络和 GPU 进程中，读取或崩溃类的漏洞最高奖励 4,000 美元，写入及释放后使用类漏洞最高奖励 10,000 美元，受控读取最高 10,000 美元，受控写入最高 20,000 美元。

渲染器进程中的写入和释放后使用类漏洞最高奖励 8,000 美元，V8 引擎沙箱漏洞均为 5,000 美元，而 V8 引擎的逻辑漏洞为 4,000 美元。其他受沙箱保护进程的读取或崩溃类漏洞奖励 2,000 美元，写入和释放后使用类漏洞奖励 3,000 美元。

谷歌还要求内存安全报告必须能在谷歌的基础设施上复现，如果没有适用测试环境的报告，奖励金额可能仅限基础奖励。谷歌称这个要求主要是将奖励和可复现、实际影响较大的漏洞对应起来。

新增中危奖励并恢复 Fuzzer 奖金：

Chrome VRP 计划还新增非内存安全漏洞奖励，S2 中危问题若报告包含修复方案或直接促成问题修复，可以获得 2,000 美元奖励。如果是影响较大的非内存安全沙箱逃逸漏洞，最高也提供 20,000 美元奖励。

谷歌还恢复 2,000 美元的 Chrome Fuzzer Bonus，奖励开发并贡献新型模糊测试器的安全研究员。谷歌还新增年度社区奖项，例如最佳报告和最佳漏洞。谷歌称随着内部 AI 漏洞检测能力提升，奖励计划正在调整方向，鼓励安全研究员寻找自动化工具难以发现的问题。