Google Puji 'Nice Catch!' Lalu Tolak Bayar: Kisah Celah Kritis GCP yang Masih Menganga

Garis Waktu Respons Google yang Kontradiktif

Kasus ini telah berlangsung selama hampir tiga bulan tanpa perbaikan yang dikeluarkan dan tanpa bounty yang dibayarkan .

1. Penerimaan awal—"Nice catch!"
   Tim bug bounty Google awalnya melakukan triase pada laporan tersebut, mengkategorikannya sebagai prioritas tinggi / severitas tinggi, dan seorang perwakilan Google memuji O'Leary dengan "Nice catch!" .

2. Bounty ditolak—"Bekerja sesuai rancangan"
   Google kemudian berbalik arah, menutup laporan, dan menyatakan perilaku tersebut "bekerja sesuai rancangan"—artinya ini tidak dianggap sebagai kerentanan yang valid berdasarkan aturan program. Tidak ada hadiah yang diberikan .

3. Tidak ada perbaikan, masih terbuka
   Per 18 Juni 2026, celah tersebut masih belum terselesaikan. Google belum menambal Config Connector dan belum menawarkan bounty apa pun kepada O'Leary .

Konteks Lebih Luas: Perombakan VRP Google 2026

Pada akhir April / awal Mei 2026, Google merombak program Vulnerability Reward Programs (VRP) untuk Chrome dan Android, dengan alasan lonjakan pengiriman yang dihasilkan AI .

• Pembayaran Chrome dipotong—Google merestrukturisasi hadiah untuk memprioritaskan bug yang "dapat ditindaklanjuti" dan berdampak lebih tinggi, secara eksplisit mengurangi hadiah untuk laporan berdampak rendah yang kini dapat dihasilkan oleh alat AI secara massal .
• Hadiah Android meningkat—Pembayaran maksimum untuk eksploitasi Titan M zero-click dinaikkan menjadi $1,5 juta, menargetkan bug tingkat perangkat keras yang tidak dapat ditemukan AI dengan mudah .
• Google menyatakan bahwa mereka "mengurangi beberapa jumlah hadiah dan bonus di seluruh Android dan Chrome" untuk fokus pada "kualitas dan dampak dunia nyata daripada volume belaka" .

Kasus O'Leary, meskipun berada di bawah Cloud VRP (bukan Chrome/Android), memperkuat persepsi yang berkembang di kalangan peneliti bahwa Google memperketat pembayaran bahkan untuk kerentanan parah yang ditemukan secara manual—di saat perusahaan secara terbuka memotong bounty karena kebisingan AI .