Google từ chối thưởng lỗi bảo mật cho lỗ hổng leo thang đặc quyền IAM trên GCP dù đã xác nhận mức độ nghiêm trọng

Dưới đây là toàn bộ câu chuyện, dựa chủ yếu vào báo cáo độc quyền của The Register và được xác nhận bởi các nguồn khác .

Lỗ hổng: Vượt qua ủy quyền IAM qua Config Connector

Nhà nghiên cứu bảo mật Justin O'Leary đã phát hiện một lỗ hổng leo thang đặc quyền nghiêm trọng trong Config Connector của Google — một Kubernetes operator (công cụ) cho phép tổ chức quản lý tài nguyên GCP (như cloud storage, database, chính sách IAM) thông qua lệnh Kubernetes .

Chi tiết kỹ thuật: Lỗ hổng cho phép bất kỳ người dùng Kubernetes namespace nào vượt qua kiểm soát Identity and Access Management (IAM) của Google Cloud Platform. Một developer chỉ cần quyền truy cập cơ bản vào một Kubernetes namespace có thể khai thác lỗi này để giành toàn quyền kiểm soát quản trị toàn bộ môi trường GCP của tổ chức — về cơ bản là sở hữu toàn bộ tài khoản cloud . O'Leary đánh giá mức độ nghiêm trọng của lỗ hổng này là CVSS 10.0 — mức tối đa có thể .

Dòng thời gian phản hồi mâu thuẫn của Google

Vụ việc đã kéo dài gần ba tháng mà không có bản vá nào được phát hành và cũng không có tiền thưởng nào được trả .

1. Chấp nhận ban đầu — "Nice catch!"
   Đội ngũ bug bounty của Google ban đầu đã phân loại báo cáo, xếp nó ở mức ưu tiên cao / mức độ nghiêm trọng cao, và một đại diện của Google đã khen ngợi O'Leary với câu "Nice catch!" (Bắt hay lắm!) .

2. Từ chối thưởng — "Hoạt động như thiết kế"
   Sau đó, Google đã thay đổi quyết định, đóng báo cáo và tuyên bố hành vi này là "working as intended" (hoạt động như thiết kế) — có nghĩa là nó không được coi là lỗ hổng hợp lệ theo quy tắc của chương trình. Không có phần thưởng nào được trao .

3. Không vá, vẫn còn lỗi
   Tính đến ngày 18 tháng 6 năm 2026, lỗ hổng vẫn chưa được khắc phục. Google chưa vá Config Connector và cũng không đưa ra bất kỳ khoản thưởng nào cho O'Leary .

Bối cảnh rộng hơn: Cuộc đại tu VRP năm 2026 của Google

Vào cuối tháng 4 / đầu tháng 5 năm 2026, Google đã đại tu các Chương trình Thưởng Lỗ hổng (VRP) cho Chrome và Android, với lý do là sự gia tăng các báo cáo do AI tạo ra .

• Tiền thưởng cho Chrome bị cắt giảm — Google tái cấu trúc phần thưởng để ưu tiên các lỗi "có thể hành động" và có tác động cao hơn, đồng thời giảm rõ rệt phần thưởng cho các báo cáo tác động thấp mà các công cụ AI hiện có thể tạo ra hàng loạt .
• Phần thưởng cao nhất cho Android tăng lên — Khoản chi trả tối đa cho các khai thác zero-click Titan M dai dẳng đã được nâng lên 1,5 triệu đô la Mỹ, nhắm mục tiêu vào các lỗi phần cứng sâu mà AI khó có thể tìm ra .
• Google tuyên bố rằng họ đang "giảm một số khoản tiền thưởng và tiền thưởng bổ sung trên Android và Chrome" để tập trung vào "chất lượng và tác động thực tế hơn là số lượng lớn" .

Trường hợp của O'Leary, mặc dù thuộc Cloud VRP (không phải Chrome/Android), đã góp phần tạo ra nhận thức ngày càng tăng trong giới nghiên cứu rằng Google đang thắt chặt chi trả ngay cả đối với các lỗ hổng nghiêm trọng được phát hiện thủ công — vào thời điểm công ty đang công khai cắt giảm tiền thưởng vì "nhiễu" từ AI .