Google в четыре раза увеличила максимальные выплаты за найденные уязвимости в браузере Chrome. Раньше за самую критическую «дыру» платили до $60 000, теперь — до $250 000. Это не просто щедрость, а вынужденная мера: в прошлом году корпорация урезала награды, и количество качественных отчётов от исследователей резко упало.

Почему Google пошла на такой шаг

Браузер Chrome — один из главных векторов атак на пользователей. Через уязвимости в нём злоумышленники могут украсть данные, установить шпионское ПО или перехватить управление устройством. Чтобы мотивировать «белых» хакеров искать баги до того, как это сделают злоумышленники, Google запустила программу вознаграждений (VRP) ещё в 2010 году. Однако в 2024 году компания снизила максимальные выплаты, что вызвало недовольство сообщества. Теперь ставки вернулись на прежний высокий уровень, а по некоторым категориям даже выросли.

Что изменилось в условиях

  • Критические уязвимости (RCE, sandbox escape) — до $250 000 (было $60 000).
  • Высокий уровень (обход политик безопасности) — до $100 000 (было $30 000).
  • Средний уровень (XSS, CSRF) — до $30 000 (было $10 000).
  • Специальные бонусы за цепочки эксплойтов и обход защиты памяти — до $500 000.

Как это работает под капотом

Chrome использует многоуровневую архитектуру безопасности: песочницу (sandbox), изоляцию сайтов (Site Isolation), защиту от переполнения буфера (CFG) и проверку целостности кода. Однако даже такая система не идеальна. Исследователи ищут баги на стыке компонентов: например, уязвимость в V8 (движок JavaScript) может позволить выполнить код в контексте браузера, а затем — обойти песочницу через ошибку в IPC (межпроцессном взаимодействии). За такую цепочку Google готова платить максимальные суммы.

«Повышение наград — сигнал рынку: безопасность браузера — приоритет. Если вы нашли баг, не продавайте его на чёрном рынке — сдайте Google и получите легальные деньги», — комментирует эксперт по кибербезопасности.

Что делать обычному пользователю

Пока исследователи охотятся за багами, вам стоит убедиться, что ваш Chrome обновлён до последней версии. Google выпускает патчи примерно раз в две недели, и многие критические уязвимости закрываются до того, как становятся известны широкой публике. Также полезно включить автоматические обновления и не отключать защиту Safe Browsing.

Если вы сами хотите попробовать найти уязвимость — изучите программу VRP Google. Начинать можно с простых багов (например, XSS в расширениях) и постепенно переходить к более сложным. За каждый подтверждённый отчёт платят от $500 до $250 000.