Google отказал в выплате исследователю за критическую уязвимость Config Connector, которая до сих пор не исправлена

Противоречивая реакция Google: хронология

Дело остаётся открытым уже почти три месяца: патч не выпущен, вознаграждение не выплачено .

1. Первоначальное принятие — «Отличная находка!»
   Команда bug bounty Google изначально триажировала отчет, присвоила ему статус высокого приоритета / высокой серьезности, а представитель Google похвалил О’Лири фразой «Nice catch!» .

2. Отказ в выплате — «Работает как задумано»
   Позже Google изменил решение: закрыл отчёт, заявив, что такое поведение «работает как задумано» (working as intended), и, следовательно, не является валидной уязвимостью по правилам программы. Никакого вознаграждения выплачено не было .

3. Исправления нет, уязвимость открыта
   По состоянию на 18 июня 2026 года проблема остаётся нерешённой. Google не выпустил патч для Config Connector и не предложил О’Лири никакой выплаты .

Контекст: пересмотр Google VRP в 2026 году

В конце апреля — начале мая 2026 года Google провёл масштабную реформу программ вознаграждения за уязвимости (VRP) для Chrome и Android, сославшись на наплыв AI-сгенерированных отчётов .

• Выплаты за Chrome снижены — Google перестроил вознаграждения, сосредоточившись на «практически применимых» и более серьёзных багах, и явно сократил выплаты за менее значимые уязвимости, которые AI-инструменты теперь могут генерировать массово .
• Награды за Android выросли — Максимальная выплата за сложные zero-click эксплойты для чипа Titan M достигла $1,5 миллиона в попытке стимулировать поиск глубоких, аппаратных уязвимостей, которые AI пока не способен найти .
• Google заявил, что «сокращает размер некоторых вознаграждений и бонусов в Android и Chrome», чтобы сфокусироваться на «качестве и реальном влиянии, а не на количестве» .

Хотя случай О’Лири относится к VRP для облачных сервисов (Cloud VRP), а не к Chrome или Android, он усиливает впечатление исследователей, что Google ужесточает выплаты даже за серьёзные, вручную найденные уязвимости — особенно на фоне публичного сокращения бонусов из-за «шума» от AI-отчётов .