Google 說「好眼力！」卻拒發獎金：研究員揭露 GCP Config Connector 嚴重漏洞，至今未修

以下是根據《The Register》獨家報導及其他媒體報導整理的完整事件始末。

漏洞：Config Connector IAM 授權繞過

安全研究員 Justin O'Leary 在 Google Config Connector 中發現一個嚴重的權限提升漏洞。Config Connector 是一個 Kubernetes 操作工具，讓企業可以透過 Kubernetes 指令管理 GCP 資源（如雲端儲存、資料庫、IAM 政策）。

技術細節： 此漏洞允許任何 Kubernetes 命名空間使用者繞過 Google Cloud Platform 的 Identity and Access Management (IAM) 控制。擁有單一 Kubernetes 命名空間基本存取權限的開發人員，可藉此漏洞取得整個組織 GCP 環境的完整管理權限——實際上等於掌控整個雲端帳戶。O'Leary 將此漏洞評為 CVSS 10.0，即最高嚴重等級。

Google 矛盾的處理時間線

此案例已歷時將近三個月，至今未發布修補程式，也未支付任何獎金。

1. 初始接受——「好眼力！」
   Google 的漏洞獎勵團隊最初處理了這份報告，將其分類為高優先級 / 高嚴重性。一名 Google 代表還對 O'Leary 表示「Nice catch!」（好眼力！）。

2. 獎金被拒——「符合設計預期」
   隨後 Google 改變立場，關閉了該報告，並宣稱該行為**「符合設計預期」**——意即不認為這是在計畫規則內的有效漏洞。O'Leary 未獲得任何獎勵。

3. 未修復，仍為開放狀態
   截至 2026 年 6 月 18 日，此漏洞仍未解決。Google 尚未修補 Config Connector，也未向 O'Leary 提供任何獎金。

更廣泛的背景：Google 2026 年漏洞獎勵計畫改革

在 2026 年 4 月底 / 5 月初，Google 因應AI 生成提交量大增，全面改革了 Chrome 與 Android 的漏洞獎勵計畫。

• Chrome 獎金調降——Google 重組獎勵制度，優先獎勵「可實際利用」且影響更大的漏洞，明確降低 AI 工具可以大量生成的低影響報告獎金。
• Android 最高獎金提高——針對持久的 Titan M 零點擊漏洞，最高獎金提高至 150 萬美元，目標是 AI 難以輕易發現的深層硬體漏洞。
• Google 表示正在「調降 Android 與 Chrome 的部分獎金與紅利」，以將重點放在「品質與真實世界的影響力，而非單純的數量」。

O'Leary 的案例雖然屬於 Cloud VRP（而非 Chrome/Android），但卻加劇了研究人員的普遍看法：即使對於手動發現的嚴重漏洞，Google 也在緊縮獎金發放——而與此同時，該公司卻因 AI 報告干擾而公開調降獎金。