La polémica vulnerabilidad en GCP Config Connector que Google calificó como ‘funciona según lo previsto’ y se niega a corregir

La contradictoria respuesta de Google

El caso lleva casi tres meses abierto sin que se haya emitido una solución ni pagado ninguna recompensa .

1. Aceptación inicial — "¡Buen trabajo!"
   El equipo de bug bounty de Google inicialmente trió el reporte, lo categorizó como de alta prioridad / alta severidad, y un representante de Google elogió a O'Leary con un "¡Buen trabajo!" .

2. Recompensa denegada — "Funciona según lo previsto"
   Google luego dio marcha atrás, cerró el reporte y declaró que el comportamiento era "funciona según lo previsto" —es decir, no se consideraba una vulnerabilidad válida según las reglas del programa. No se emitió ninguna recompensa .

3. Sin corrección, aún abierto
   Hasta el 18 de junio de 2026, la falla sigue sin resolverse. Google no ha parcheado Config Connector y no le ha ofrecido ninguna recompensa a O'Leary .

Contexto más amplio: la reestructuración de los VRP de Google en 2026

A finales de abril / principios de mayo de 2026, Google reestructuró sus Programas de Recompensa por Vulnerabilidades (VRP) para Chrome y Android, citando un aumento en las presentaciones generadas por IA .

• Se redujeron los pagos de Chrome — Google reestructuró las recompensas para priorizar los errores "accionables" y de mayor impacto, reduciendo explícitamente las recompensas por reportes de menor impacto que las herramientas de IA ahora pueden generar en masa .
• Aumentaron las recompensas máximas de Android — El pago máximo por exploits persistentes de Titan M de tipo zero-click se elevó a $1.5 millones, apuntando a errores profundos a nivel de hardware que la IA no puede encontrar fácilmente .
• Google declaró que está "reduciendo algunos montos de recompensa y bonificaciones en Android y Chrome" para centrarse en "la calidad y el impacto en el mundo real por encima del mero volumen" .

El caso de O'Leary, aunque se enmarca en el VRP de la Nube (no en el de Chrome/Android), alimenta una percepción creciente entre los investigadores de que Google está ajustando los pagos incluso para fallas graves descubiertas manualmente —justo cuando la empresa está recortando recompensas públicamente debido al ruido de la IA .