Google、深刻なクラウド脆弱性の報奨金を否認──研究者への「ナイスキャッチ」から一転、「仕様通り」と判断

Googleの矛盾した対応

Googleの対応は、目まぐるしい矛盾に満ちている。

フェーズ1 — 「ナイスキャッチ！」 O'Leary氏は2026年3月8日にこのバグをGoogleに報告した。3月27日、Googleのセキュリティエンジニアが報告書を受け付け、「ナイスキャッチ！（Nice Catch!）」と伝えた。エンジニアは関連する製品チームにバグを登録し、Google Cloudと協力して修正に取り組むと約束し、次のように書いている。「製品チームと協力してこの問題に対処します。修正が完了したらお知らせします」。GoogleはこのバグにP1優先度（最高）とS1深刻度（重大——ユーザーの大部分に影響し、中核的な組織機能を妨害する可能性がある）を割り当てた。

フェーズ2 — 「仕様通りに動作している」 4月7日——11日後——O'Leary氏はGoogle Security Botから決定を覆すメッセージを受け取った。Cloud Vulnerability Reward Programパネルは、「この問題のセキュリティ影響は報奨金の対象となる基準を満たしていない」と結論付け、ソフトウェアは「仕様通りに動作している」とした。Googleは報奨金の支払いを一切拒否した。

矛盾点： The Registerの6月18日時点の報道によれば、Googleの内部バグトラッカーは依然としてConfigConfusionをP1/S1、ステータス「進行中（受理済み）」 としてリストしており——脆弱性は存在しないとする公式見解と矛盾している。

未解決のまま

2026年6月中旬時点——最初の報告から3カ月以上——この脆弱性は依然としてパッチが適用されておらず、未解決のままである。O'Leary氏はその後、自身の研究ブログ（olearysec.com）で完全な技術的詳細を公開した。

Googleの2026年VRP変更——より広い文脈

2026年5月初旬、GoogleはChromeとAndroid向けの脆弱性報奨金プログラム（VRP）を全面的に見直し、脆弱性発見におけるAIツールの台頭を明確な理由として挙げた。

主な変更点：

• Chromeの報奨金はほとんどのカテゴリで減少。Googleの論拠は、AIツールが低品質の大量提出物を容易に生成できるため、より影響が大きく自動化が困難なバグクラスに報奨を再構築するというものだ。
• Androidの最高報奨金は上昇——永続性を伴うゼロクリック完全チェーンTitan M2侵害に対して、最高150万ドルに。
• ChromeのCVE公開数は前年同期比で4倍（2025年5月初旬までの52件から2026年5月初旬までの252件へ）となり、GoogleはこれをAI生成レポート急増の証拠として引用した。

批判派は、これが奇妙な対照を生み出していると主張する。Googleは「AIノイズ」を理由にChromeの報奨金を削減する一方で、人間の研究者が注意深く報告したCVSS 10.0のクラウドインフラバグについては「仕様通りに動作している」として報奨金を拒否しているのだ。この決定について、セキュリティコミュニティの多くは「近視眼的で研究者の信頼を損なう」と批判している。