Google讚「好嘢」後反悔：嚴重GCP漏洞唔畀Bug Bounty，拖咗三個月都未修

Google 前後矛盾嘅回應時間線

成個案件拖咗 接近三個月，Google冇整修補程式，亦冇畀Bug Bounty。

1. 最初接納——「Good catch!」
   Google Bug Bounty團隊最初分類為 高優先級/高嚴重性，Google代表仲同O'Leary講咗句「Good catch!」。

2. 拒發獎金——「正常運作」
   Google之後推翻決定，close咗報告，話呢個行為係 「正常運作」——即係唔當係漏洞，所以唔會畀獎金。

3. 冇 fix，仍然存在
   截至2026年6月18日，呢個漏洞 仍然未修。Google冇整到Config Connector修補程式，冇畀O'Leary任何獎金。

更大背景：Google 2026年VRP改革

喺 2026年4月底/5月初，Google重整咗Chrome同Android嘅漏洞獎勵計劃（VRP），理由是 AI自動生成嘅漏洞報告激增。

• Chrome獎金被削減——Google重組獎勵機制，集中獎勵「有實際影響」同高風險嘅漏洞，明確話要減少AI工具大量生成嘅低質素報告嘅獎金。
• Android最高獎金提高——針對持久性Titan M零點擊漏洞嘅最高獎金提高到 150萬美元，呢啲係AI好難搵到嘅深層硬件漏洞。
• Google話「會減少Android同Chrome嘅部分獎金同獎勵」，以集中資源喺「質素同真實影響，而唔係數量」。

O'Leary嘅個案雖然屬於 Cloud VRP（唔係Chrome或Android），但呢件事令研究員覺得Google就算係手動發現嘅嚴重漏洞，都傾向唔畀錢——尤其係公司正公開削減AI報告嘅獎金。