Google установила новый рекорд по выплатам исследователям безопасности в 2025 году, $17,1 миллиона для 747 специалистов по всему миру. Это на 40% больше, чем годом ранее, и самая высокая сумма за 15 лет существования программы Vulnerability Reward Program.

Больше всего заработали исследователи в трех направлениях. Chrome VRP выплатил $3,7 миллиона более чем 100 участникам. Максимальная награда за единичную находку достигла $250 000 за демонстрацию полной цепочки выхода из песочницы. Лидер общего рейтинга за год заработал $811 000.

Google Cloud VRP за первый полный год работы распределил $3,5 миллиона между 143 исследователями, которые подали 1 774 отчета. Компания отметила, что часть из них привела к значительным архитектурным изменениям в нескольких продуктах Google Cloud. На Android и устройства Google пришлось более $2,9 миллиона.

Особенно значима новая программа AI VRP, запущенная в октябре 2025 года. Google открыто признала, что обеспечение безопасности продуктов генеративного ИИ требует специализированных исследований, отличных от традиционных подходов к поиску уязвимостей. За неполный год в этой области выплатили $350 000, а суммарно по уязвимостям в ИИ-продуктах, $890 000. Внедрение инструкций и обход ограничений вынесены за рамки программы.

Средняя выплата составила около $22 900 на исследователя, но распределение крайне неравномерное. Google за тот же 2025 год зафиксировала 90 эксплуатируемых уязвимостей нулевого дня, что показывает актуальность программы. Интересно, что суммы вознаграждений растут быстрее числа участников, в 2023-м компания выплатила $10 миллионов 632 исследователям, в 2024-м $11,8 миллиона 660 специалистам, а в 2025-м $17,1 миллиона 747 участникам.

С момента запуска VRP в 2010 году Google суммарно выплатила $81,6 миллиона. В 2026 году компания планирует новые bugSWAT-мероприятия и конференцию по безопасности ESCAL8.

Hacker's TOYS