Google 安全漏洞悬赏闹剧：先夸“抓得好”，再拒付奖金，关键漏洞至今未修复

Google 自相矛盾的处理时间线

该案例已公开近三个月，但 Google 既没有发布修复补丁，也没有支付任何奖金 。

1. 最初接受——“Nice catch!”
   Google 的漏洞悬赏团队最初对此报告进行了分类，将其标记为高优先级 / 高严重性，并且一名 Google 代表称赞 O'Leary 的发现，说“Nice catch!”（抓得好！）。

2. 奖金被拒——“符合预期设计”
   Google 随后推翻了之前的决定，关闭了此报告，并声称该行为**“符合预期设计”**——这意味着根据项目规则，它不被视为有效漏洞。因此，不发放任何奖励 。

3. 至今未修复，仍处于开放状态
   截至 2026 年 6 月 18 日，该漏洞仍未得到解决。Google 没有为 Config Connector 发布补丁，也没有向 O'Leary 提供任何奖金 。

更广泛的背景：Google 2026 年漏洞奖励计划改革

在 2026 年 4 月底/5 月初，Google 对其 Chrome 和 Android 的漏洞奖励计划进行了全面改革，理由是AI 生成的漏洞报告激增 。

• Chrome 奖金被削减——Google 重组了奖励机制，优先考虑“可操作”和影响更大的漏洞，明确减少了对 AI 工具可以批量生成的低影响报告的奖励 。
• Android 最高奖金提高——针对持久的 Titan M 零点击漏洞，最高奖金提高到了 150 万美元，目标是 AI 难以发现的深层硬件级漏洞 。
• Google 表示，它正在“降低 Android 和 Chrome 的部分奖励金额和奖金”，以便将重点放在“质量和实际影响，而非纯粹的数量上” 。

O'Leary 的案例虽然属于云 VRP（而非 Chrome/Android），但加剧了研究人员中日益增长的一种看法：即使在 AI 导致大量噪音报告的情况下，Google 也在收紧对即使是手动发现的严重漏洞的奖金发放 。