漏洞：Config Connector IAM 授權繞過

安全研究員 Justin O'Leary 發現Google Config Connector——一個俾企業用Kubernetes指令管理GCP資源（例如雲端儲存、數據庫、IAM政策）嘅工具——有個致命特權提升漏洞。

技術細節： 呢個漏洞令 任何Kubernetes Namespace用戶 都可以繞過Google Cloud Platform嘅 Identity and Access Management (IAM) 權限控制。一個只有基本Namespace權限嘅開發人員，可以借此取得 整個機構GCP環境嘅完整管理權限——即係成個雲端帳戶都歸晒佢。 O'Leary 將呢個漏洞評為 CVSS 10.0——最高嘅嚴重級別。

Google 前後矛盾嘅回應時間線

成個案件拖咗 接近三個月，Google冇整修補程式，亦冇畀Bug Bounty。

1. 最初接納——「Good catch!」
   Google Bug Bounty團隊最初分類為 高優先級/高嚴重性，Google代表仲同O'Leary講咗句「Good catch!」。

2. 拒發獎金——「正常運作」
   Google之後推翻決定，close咗報告，話呢個行為係 「正常運作」——即係唔當係漏洞，所以唔會畀獎金。

3. 冇 fix，仍然存在
   截至2026年6月18日，呢個漏洞 仍然未修。Google冇整到Config Connector修補程式，冇畀O'Leary任何獎金。

更大背景：Google 2026年VRP改革

喺 2026年4月底/5月初，Google重整咗Chrome同Android嘅漏洞獎勵計劃（VRP），理由是 AI自動生成嘅漏洞報告激增。

• Chrome獎金被削減——Google重組獎勵機制，集中獎勵「有實際影響」同高風險嘅漏洞，明確話要減少AI工具大量生成嘅低質素報告嘅獎金。
• Android最高獎金提高——針對持久性Titan M零點擊漏洞嘅最高獎金提高到 150萬美元，呢啲係AI好難搵到嘅深層硬件漏洞。
• Google話「會減少Android同Chrome嘅部分獎金同獎勵」，以集中資源喺「質素同真實影響，而唔係數量」。

O'Leary嘅個案雖然屬於 Cloud VRP（唔係Chrome或Android），但呢件事令研究員覺得Google就算係手動發現嘅嚴重漏洞，都傾向唔畀錢——尤其係公司正公開削減AI報告嘅獎金。

漏洞：Config Connector IAM 授權繞過

安全研究員 Justin O'Leary 發現Google Config Connector——一個俾企業用Kubernetes指令管理GCP資源（例如雲端儲存、數據庫、IAM政策）嘅工具——有個致命特權提升漏洞。

技術細節： 呢個漏洞令 任何Kubernetes Namespace用戶 都可以繞過Google Cloud Platform嘅 Identity and Access Management (IAM) 權限控制。一個只有基本Namespace權限嘅開發人員，可以借此取得 整個機構GCP環境嘅完整管理權限——即係成個雲端帳戶都歸晒佢。 O'Leary 將呢個漏洞評為 CVSS 10.0——最高嘅嚴重級別。

Google 前後矛盾嘅回應時間線

成個案件拖咗 接近三個月，Google冇整修補程式，亦冇畀Bug Bounty。

1. 最初接納——「Good catch!」
   Google Bug Bounty團隊最初分類為 高優先級/高嚴重性，Google代表仲同O'Leary講咗句「Good catch!」。

2. 拒發獎金——「正常運作」
   Google之後推翻決定，close咗報告，話呢個行為係 「正常運作」——即係唔當係漏洞，所以唔會畀獎金。

3. 冇 fix，仍然存在
   截至2026年6月18日，呢個漏洞 仍然未修。Google冇整到Config Connector修補程式，冇畀O'Leary任何獎金。

更大背景：Google 2026年VRP改革

喺 2026年4月底/5月初，Google重整咗Chrome同Android嘅漏洞獎勵計劃（VRP），理由是 AI自動生成嘅漏洞報告激增。

• Chrome獎金被削減——Google重組獎勵機制，集中獎勵「有實際影響」同高風險嘅漏洞，明確話要減少AI工具大量生成嘅低質素報告嘅獎金。
• Android最高獎金提高——針對持久性Titan M零點擊漏洞嘅最高獎金提高到 150萬美元，呢啲係AI好難搵到嘅深層硬件漏洞。
• Google話「會減少Android同Chrome嘅部分獎金同獎勵」，以集中資源喺「質素同真實影響，而唔係數量」。

O'Leary嘅個案雖然屬於 Cloud VRP（唔係Chrome或Android），但呢件事令研究員覺得Google就算係手動發現嘅嚴重漏洞，都傾向唔畀錢——尤其係公司正公開削減AI報告嘅獎金。