Google подняла ставку для охотников за Android-эксплойтами до $1,5 млн

Google обновила программы вознаграждений за уязвимости в Android, устройствах Google и Chrome. Максимальная выплата теперь достигает $1,5 млн - столько компания готова заплатить за zero-click-цепочку, которая позволяет скомпрометировать чип безопасности Pixel Titan M2 с сохранением доступа. Такой же эксплойт без persistence оценивается до $750 тыс.

Компания объясняет пересмотр правил новой реальностью рынка ИБ: ИИ и автоматизация ускорили поиск уязвимостей, поэтому Google хочет сильнее поощрять те баги, которые остаются сложными для автоматических инструментов. Фокус смещается на уязвимости с максимальным риском для пользователей и на отчеты, где есть не только описание проблемы, но и практическое подтверждение эксплуатации.

В Android появились и другие крупные категории выплат. За извлечение конфиденциальных данных из защищенного элемента можно получить до $375 тыс., а за программный обход экрана блокировки - до $150 тыс. При этом Google уточняет, что в Android-программе больше внимания будет уделяться уязвимостям в компонентах Linux kernel, которые поддерживает сама компания, если исследователь может показать их реальную применимость к Android или устройствам Google.

Chrome-программа тоже изменилась. За критический full-chain-эксплойт, который при открытии страницы позволяет обойти изоляцию браузера и выполнить код, можно получить до $250 тыс. Дополнительный бонус до $250 128 предусмотрен за успешную эксплуатацию выделений памяти, защищенных механизмом MiraclePtr. Для менее сложных категорий выплаты стали ниже: Google фактически снижает ценность отчетов, которые ИИ-инструменты уже помогают массово находить и подробно описывать.

Для исследователей это сигнал: рынок bug bounty становится более полярным. Простые находки и длинные AI-сгенерированные отчеты дешевеют, а сложные цепочки эксплуатации, особенно на уровне аппаратной защиты и браузерной изоляции, наоборот становятся дороже. Google уже выплатила рекордные $17,1 млн исследователям в 2025 году и ожидает, что общий объем выплат в 2026 году может вырасти, несмотря на перераспределение ставок.