Google lobt „Guter Fang!“ – und verweigert dann die Prämie für eine kritische Sicherheitslücke, die bis heute ungepatcht ist

Googles widersprüchliche Reaktion im Zeitverlauf

Der Fall ist seit fast drei Monaten offen, ohne dass ein Fix veröffentlicht oder eine Prämie gezahlt wurde .

1. Erste Annahme – „Nice catch!“
   Das Bug-Bounty-Team von Google stufte den Bericht zunächst als hohe Priorität / hohen Schweregrad ein, und ein Google-Vertreter lobte O'Leary mit einem „Nice catch!“ .

2. Prämie verweigert – „Working as intended“
   Google nahm seine Entscheidung später zurück, schloss den Bericht und erklärte das Verhalten für „working as intended“ – es sei keine gültige Schwachstelle im Sinne der Programmregeln. Es wurde keine Belohnung ausgezahlt .

3. Kein Fix, weiterhin offen
   Stand 18. Juni 2026 ist der Fehler weiterhin ungelöst. Google hat Config Connector nicht gepatcht und O'Leary keine Prämie angeboten .

Weiterer Kontext: Googles VRP-Überarbeitung 2026

Ende April / Anfang Mai 2026 überarbeitete Google seine Vulnerability Reward Programs für Chrome und Android und begründete dies mit einer Flut von KI-generierten Einsendungen .

• Chrome-Auszahlungen wurden gekürzt – Google strukturierte die Belohnungen um, um „umsetzbare“ und wirkungsvollere Fehler zu priorisieren, und reduzierte explizit die Belohnungen für weniger schwerwiegende Meldungen, die KI-Tools nun in Massen generieren können .
• Android-Höchstprämien stiegen – Die maximale Auszahlung für persistente Titan-M-Zero-Click-Exploits wurde auf 1,5 Millionen Dollar angehoben, um tiefe Hardware-Fehler zu adressieren, die KI nicht einfach finden kann .
• Google erklärte, es werde „einige Belohnungsbeträge und Boni für Android und Chrome reduzieren“, um sich auf „Qualität und reale Auswirkungen statt auf bloße Masse“ zu konzentrieren .

O'Learys Fall betrifft zwar das Cloud-VRP (nicht Chrome/Android), fügt sich aber in die wachsende Wahrnehmung unter Forschern ein, dass Google die Auszahlungen selbst für schwerwiegende, manuell entdeckte Fehler verschärft – zu einer Zeit, in der das Unternehmen öffentlich die Prämien aufgrund von KI-Rauschen kürzt .