Google tăng thưởng tiền cho lỗ hổng Chrome sau khi từng cắt giảm mạnh

Google vừa thông báo điều chỉnh chương trình thưởng săn lỗ hổng (bug bounty) dành cho trình duyệt Chrome, theo hướng tăng mức chi trả cho một số loại lỗ hổng, đặc biệt là các vấn đề liên quan đến an toàn bộ nhớ. Đây được xem là động thái đảo ngược một phần so với đợt cắt giảm mạnh hồi tháng 4 vừa qua.

Biểu tượng lỗ hổng zero-day trên Chrome

Bối cảnh của đợt điều chỉnh

Hồi tháng 4, Google từng gây chú ý khi hạ đáng kể mức thưởng tiêu chuẩn cho một số lỗ hổng Chrome, với lý do muốn tập trung vào những báo cáo có giá trị thực tiễn cao hơn. Nhiều nhà nghiên cứu bảo mật cho biết có trường hợp mức thưởng bị giảm tới 10 lần. Khi đó, mức thưởng cơ bản cho lỗ hổng an toàn bộ nhớ chỉ còn 500 USD, kèm theo hệ số nhân tùy vào khả năng tiếp cận và mức độ khai thác.

Sự thay đổi này từng khiến cộng đồng săn lỗ hổng không hài lòng, bởi nó ảnh hưởng trực tiếp đến động lực nghiên cứu và báo cáo các lỗ hổng nghiêm trọng.

Mức thưởng mới được nâng lên

Theo công bố mới, Google sẽ tăng gấp bốn lần mức thưởng cơ bản dành cho các lỗ hổng an toàn bộ nhớ, từ 500 USD lên 2.000 USD. Dù đã cao hơn nhiều so với trước, con số này vẫn thấp hơn đáng kể so với mức thưởng trước thời điểm cải tổ hồi tháng 4.

Các mức chi trả cụ thể đáng chú ý gồm:

• Lỗ hổng trong tiến trình trình duyệt, GPU và mạng của Chrome có thể mang lại cho nhà nghiên cứu tối đa 20.000 USD.
• Với tiến trình renderer, thợ săn lỗ hổng có thể nhận tới 8.000 USD cho các lỗi use-after-free và ghi bộ nhớ.
• Lỗ hổng trong V8 sandbox được áp mức cố định 5.000 USD.
• Lỗi logic trong V8 được thưởng 4.000 USD.

Các lỗ hổng không liên quan đến an toàn bộ nhớ

Với những lỗ hổng không thuộc nhóm an toàn bộ nhớ, Google cho biết các lỗi mức độ trung bình sẽ được thưởng 2.000 USD, với điều kiện báo cáo có kèm bản sửa lỗi hoặc trực tiếp dẫn tới một bản sửa lỗi đã được xác định.

Ngoài ra, các trường hợp thoát khỏi sandbox (sandbox escape) nhưng không liên quan đến lỗi an toàn bộ nhớ có thể nhận thưởng tối đa 20.000 USD.

Biểu đồ mức chi trả tiền thưởng của Chrome

Google cũng khôi phục khoản thưởng 2.000 USD dành cho những ai phát triển được công cụ fuzzer mới (fuzzer bonus).

Ảnh hưởng của AI và thay đổi về quy trình

Đáng chú ý, Google cho biết mọi báo cáo đang nằm trong hàng đợi đánh giá, được gửi sau ngày 30/4/2026, sẽ được xem xét và chi trả theo quy tắc mới. Điều này có nghĩa là một số nhà nghiên cứu có thể được hưởng lợi ngược thời gian nếu báo cáo của họ chưa được xử lý xong.

Động thái này diễn ra trong bối cảnh AI đang thay đổi tốc độ và đặc điểm của việc phát hiện lỗ hổng. Trí tuệ nhân tạo giúp việc tìm kiếm lỗ hổng diễn ra nhanh và quy mô hơn, nhưng cũng tạo ra lượng lớn báo cáo kém chất lượng. Google gần đây từng thông báo tạm đóng chương trình thưởng lỗ hổng mã nguồn mở (OSS VRP) đối với các báo cáo lỗ hổng sản phẩm, do số lượng báo cáo do AI tạo ra gia tăng mạnh.

Chuyên gia bảo mật Ed Kovacs

Ý nghĩa với cộng đồng bảo mật

Việc Google nâng thưởng trở lại cho thấy sự cân bằng khó khăn giữa hai mục tiêu: khuyến khích nghiên cứu chất lượng cao và lọc bỏ những báo cáo nhiễu. Với người dùng Chrome tại Việt Nam — trình duyệt phổ biến nhất trên cả máy tính lẫn điện thoại — những thay đổi này có thể gián tiếp cải thiện tốc độ vá lỗ hổng, qua đó nâng cao mức độ an toàn chung.

Dù mức thưởng mới vẫn chưa bằng thời kỳ trước, việc tăng gấp bốn lần cho lỗ hổng an toàn bộ nhớ là tín hiệu cho thấy Google vẫn đặt nặng nhóm lỗi nguy hiểm nhất trong trình duyệt.

Câu hỏi đặt ra là liệu mức thưởng mới có đủ sức hút để các nhà nghiên cứu hàng đầu tiếp tục dành thời gian cho Chrome, hay họ sẽ chuyển hướng sang những nền tảng trả thưởng hào phóng hơn.