Aceitação inicial — 'Nice catch!'
O time de bug bounty do Google inicialmente triou o relato, categorizou-o como alta prioridade / alta severidade, e um representante elogiou O'Leary com um 'Nice catch!' .
Recompensa negada — 'Working as intended'
O Google depois reverteu a decisão, fechou o relato e declarou que o comportamento era 'working as intended' — ou seja, não era considerado uma vulnerabilidade válida segundo as regras do programa. Nenhuma recompensa foi emitida .
Sem correção, ainda aberto
Em 18 de junho de 2026, a falha ainda não foi resolvida. O Google não corrigiu o Config Connector e não ofereceu recompensa a O'Leary .
No final de abril/início de maio de 2026, o Google reformulou seus Programas de Recompensa por Vulnerabilidades (VRP) para Chrome e Android, citando um aumento de submissões geradas por IA .
O caso de O'Leary, embora no Cloud VRP (não no Chrome/Android), alimenta uma percepção crescente entre pesquisadores de que o Google está apertando os pagamentos mesmo para falhas graves descobertas manualmente — justamente quando a empresa corta recompensas publicamente devido ao ruído de IA .
Comments
0 comments