Google ha ampliado su programa de recompensas por vulnerabilidades de Google Cloud con un premio máximo de 215.000 euros. Su objetivo son los investigadores capaces de demostrar fallos de seguridad que permitan obtener el control administrativo completo de organizaciones o proyectos de la plataforma.
La nueva categoría, denominada Root-in-Cloud, busca incentivar la investigación de vulnerabilidades arquitectónicas de gran impacto. Se centra especialmente en aquellas que permiten superar los mecanismos de aislamiento entre clientes o aprovechar fallos de lógica entre distintos servicios.
Control total sin acceso previo
Para optar a la recompensa, los investigadores deben demostrar que una vulnerabilidad permite conseguir privilegios equivalentes a los de propietario o el control completo de la gestión de identidades y accesos (IAM) sobre organizaciones o proyectos arbitrarios de Google Cloud.
El fallo no puede depender de que el investigador tenga acceso previo al proyecto afectado, utilice credenciales robadas o comprometidas, ni recurra a la interacción de usuarios o técnicas de ingeniería social.
Google también evaluará para esta categoría los informes que demuestren ejecución remota de código en Borg, su infraestructura de producción, o que permitan obtener privilegios de administrador en entornos productivos.
Pruebas sin poner en riesgo a clientes
La compañía ha establecido límites estrictos para evitar que las investigaciones afecten a proyectos reales. En particular, si un investigador consigue ejecutar código en Borg debe detener inmediatamente las pruebas. La escalada de privilegios, la extracción de credenciales de producción y los movimientos laterales están prohibidos y pueden provocar la descalificación.
Para verificar los hallazgos, Google ha desarrollado un mecanismo de prueba que utiliza una cuenta de servicio designada. De esta forma, los investigadores pueden demostrar criptográficamente que han obtenido acceso no autorizado sin necesidad de probar el ataque contra proyectos de clientes.
Chris Betz, responsable de seguridad de Google Cloud, explica que el nuevo nivel de recompensa pretende reconocer investigaciones arquitectónicas de alto impacto. Michael Cote, responsable del programa de recompensas, añade que la combinación de intuición humana y herramientas de inteligencia artificial está permitiendo descubrir vulnerabilidades más interesantes.
La IA cambia la investigación de seguridad
Google señala que el volumen total de informes de vulnerabilidades ha aumentado considerablemente durante los últimos 18 meses, aunque el número de reportes válidos recibidos por su programa Cloud VRP se ha mantenido estable. La compañía atribuye parte de este incremento a la automatización y al uso de herramientas de inteligencia artificial.
En este contexto, el nuevo premio busca impulsar investigaciones que vayan más allá de los fallos detectados automáticamente y que requieran comprender la arquitectura de los sistemas, identificar problemas de aislamiento entre clientes y analizar interacciones complejas entre servicios.
La iniciativa se integra en el programa de recompensas de vulnerabilidades de Google Cloud. Este sistema permite a investigadores externos comunicar fallos de seguridad a cambio de compensaciones económicas.
