Google Cloud cria faixa Root-in-Cloud de US$ 250 mil no programa de recompensas por vulnerabilidades

A nova faixa Root-in-Cloud do Google Cloud VRP paga US$ 250.000 a quem demonstrar controle administrativo total (equivalente a "roles/owner" ou controle completo de IAM) sobre organizações ou projetos arbitrários do Google Cloud. Não pode haver acesso prévio nem configuração especial do projeto. O caminho de exploração também não pode depender de foothold na vítima, de credenciais vazadas, obtidas por phishing ou roubadas, nem de interação do usuário ou engenharia social.

Para validar sem tocar em clientes reais, o programa criou um mecanismo determinístico de proof-of-root, com uma conta de serviço designada: o pesquisador prova acesso não autorizado àquela identidade de forma criptográfica. Relatos válidos de RCE no Borg ou de root-in-prod passam automaticamente pela avaliação do painel. Ao obter qualquer execução no Borg, o pesquisador deve parar na hora. Escalonamento, extração de credenciais de produção e movimentação lateral desqualificam. Michael Cote, líder do programa, afirmou que os relatos válidos ficaram estáveis em 18 meses, enquanto o total de relatos cresceu muito. Ele recomenda às equipes preparar a triagem para submissões geradas por agentes, encurtar prazos de correção após a divulgação pública e cobrar divulgação coordenada dos parceiros.

A faixa se soma a um movimento de ajuste dos programas do Google. Em 4 de maio de 2026, o CEVIU noticiou "Google Ajusta Recompensas por Bugs: Pagamentos do Chrome Caem Enquanto Recompensas do Android Aumentam em Meio à Ascensão da IA", com o teto do Android em US$ 1,5 milhão. Em 16 de março de 2026, em "VRPs do Google: Análise de 2025 revela mais de US$17 milhões pagos", a cobertura mostrava os programas de Chrome, Android e cloud. Agora o Cloud ganha uma faixa própria de topo.

Para quem opera triagem de vulnerabilidades, o recado é prático: o volume de relatos sobe, mas os válidos não. Isso sugere investir em filtros contra relatos plausíveis e falsos antes de gargalar a fila. Para quem tem pesquisadores externos como parceiros, vale exigir a janela de divulgação coordenada de 90 dias.