Google 說「好眼力！」卻拒發獎金：研究員揭露 GCP Config Connector 嚴重漏洞，至今未修

Google 矛盾的處理時間線

此案例已歷時將近三個月，至今未發布修補程式，也未支付任何獎金。

1. 初始接受——「好眼力！」
   Google 的漏洞獎勵團隊最初處理了這份報告，將其分類為高優先級 / 高嚴重性。一名 Google 代表還對 O'Leary 表示「Nice catch!」（好眼力！）。

2. 獎金被拒——「符合設計預期」
   隨後 Google 改變立場，關閉了該報告，並宣稱該行為**「符合設計預期」**——意即不認為這是在計畫規則內的有效漏洞。O'Leary 未獲得任何獎勵。

3. 未修復，仍為開放狀態
   截至 2026 年 6 月 18 日，此漏洞仍未解決。Google 尚未修補 Config Connector，也未向 O'Leary 提供任何獎金。

更廣泛的背景：Google 2026 年漏洞獎勵計畫改革

在 2026 年 4 月底 / 5 月初，Google 因應AI 生成提交量大增，全面改革了 Chrome 與 Android 的漏洞獎勵計畫。

• Chrome 獎金調降——Google 重組獎勵制度，優先獎勵「可實際利用」且影響更大的漏洞，明確降低 AI 工具可以大量生成的低影響報告獎金。
• Android 最高獎金提高——針對持久的 Titan M 零點擊漏洞，最高獎金提高至 150 萬美元，目標是 AI 難以輕易發現的深層硬體漏洞。
• Google 表示正在「調降 Android 與 Chrome 的部分獎金與紅利」，以將重點放在「品質與真實世界的影響力，而非單純的數量」。

O'Leary 的案例雖然屬於 Cloud VRP（而非 Chrome/Android），但卻加劇了研究人員的普遍看法：即使對於手動發現的嚴重漏洞，Google 也在緊縮獎金發放——而與此同時，該公司卻因 AI 報告干擾而公開調降獎金。