Google tung thưởng 250.000 USD cho lỗ hổng có thể chiếm quyền quản trị Google Cloud

Google vừa nâng mức thưởng cao nhất trong chương trình thưởng lỗ hổng Google Cloud (Cloud VRP) lên 250.000 USD. Đây là con số dành cho những nghiên cứu có thể dẫn tới việc chiếm toàn bộ quyền quản trị trên nền tảng đám mây của hãng, đánh dấu một bước leo thang đáng kể trong cuộc đua săn lỗ hổng bảo mật trên hạ tầng cloud.

Google mở rộng chương trình săn lỗ hổng Google Cloud

Mức thưởng dành cho ai?

Theo Google, khoản tiền thưởng cao nhất này "được thiết kế riêng để ghi nhận các nghiên cứu kiến trúc có tác động lớn". Những chuyên gia bảo mật có thể chứng minh khả năng đạt được đặc quyền roles/owner hoặc kiểm soát hoàn toàn hệ thống IAM trên bất kỳ tổ chức hay dự án Google Cloud tùy ý nào sẽ được xét thưởng.

Điều kiện khá ngặt nghèo: đường dẫn khai thác không được phép dựa vào quyền truy cập sẵn có vào một dự án, thông tin đăng nhập đã bị xâm phạm trước đó, hay các kỹ thuật tương tác người dùng và lừa đảo xã hội. Nói cách khác, lỗ hổng phải thực sự nằm trong kiến trúc hệ thống, chứ không phải lỗi sơ đẳng hay sự bất cẩn của người dùng.

Các báo cáo chứng minh được khả năng thực thi mã từ xa (RCE) trong Borg – hệ thống hạ tầng sản xuất cốt lõi của Google – hoặc chiếm quyền root trên môi trường production cũng sẽ được xét cho mức thưởng mới.

Quy tắc ứng xử nghiêm ngặt

Đi kèm mức thưởng hậu hĩnh là các ràng buộc cực kỳ chặt chẽ để bảo vệ khách hàng và hệ thống thật. Theo ông Chris Betz, Giám đốc An ninh thông tin (CISO) của Google Cloud, do việc thực thi mã trong Borg có thể ảnh hưởng đến tính sẵn sàng của dịch vụ hoặc dữ liệu giữa các tổ chức thuê chung, nhà nghiên cứu phải dừng ngay mọi thao tác thăm dò khi đạt được bất kỳ khả năng thực thi nào trong Borg.

"Việc leo thang đặc quyền, trích xuất thông tin đăng nhập production và di chuyển ngang đều không được phép thực hiện và sẽ dẫn tới việc nhà nghiên cứu bị loại khỏi chương trình" – ông Betz nhấn mạnh.

Quy tắc và tiêu chí xác thực lỗ hổng trên Google Cloud

Google cho biết sẽ trao thưởng nếu phân tích của họ về điểm xâm nhập ban đầu, ngữ cảnh thực thi và bề mặt tấn công chứng minh được khả năng chiếm toàn quyền một tổ chức hoặc dự án thuê chung một cách tùy ý. Tiêu chí xác thực mới đã được bổ sung vào trang Cloud VRP.

Khi AI trở thành cộng sự săn lỗ hổng

Điểm đáng chú ý là Google không chỉ dựa vào con người. Ông Betz cho rằng việc phát hiện các lỗ hổng vượt qua cách ly giữa các tổ chức thuê chung (tenant isolation) và những lỗi logic phức tạp xuyên dịch vụ đòi hỏi sự sáng tạo, trực giác và phân tích hệ thống nghiêm ngặt của con người, kết hợp với sức mạnh của các hệ thống tác tử (agentic systems) – tức các AI có khả năng tự hành động.

Ông Michael Cote, trưởng chương trình VRP của Google Cloud, chia sẻ rằng những chuyên gia lần đầu tham gia nhưng biết kết hợp trực giác của mình với công cụ AI tác tử đang tìm ra nhiều lỗ hổng thú vị hơn, trung bình, so với người mới cách đây hai năm. Ông cũng lưu ý rằng để tìm ra lỗ hổng đủ điều kiện cho mức thưởng root-in-cloud mới cần cả trực giác kiến trúc sâu sắc lẫn AI.

Cơ chế chứng minh an toàn

Một điểm đáng khen ngợi là Google tìm cách tránh tuyệt đối việc nhà nghiên cứu thử nghiệm khai thác trên dự án của khách hàng thật. Theo ông Cote, họ đã tạo ra cơ chế chứng minh root mang tính tất định (deterministic proof-of-root) bằng một tài khoản dịch vụ được chỉ định sẵn. Nhờ đó, nhà nghiên cứu có thể chứng minh bằng mật mã rằng họ đã giành được quyền truy cập trái phép vào danh tính đó mà không cần chạm vào hệ thống thật.

Động thái này diễn ra trong bối cảnh các chương trình săn lỗ hổng đang thay đổi mạnh mẽ dưới tác động của AI. Google trước đó từng cắt giảm một phần thưởng Chrome và thu hẹp chương trình săn lỗ hổng mã nguồn mở vì làn sóng báo cáo tự động không hợp lệ. Việc nâng thưởng cho Cloud cho thấy hãng vẫn đặt cược lớn vào những lỗ hổng kiến trúc thực sự giá trị, đồng thời đặt ra ranh giới rõ ràng giữa nghiên cứu an toàn có trách nhiệm và tấn công thực tế.

Với cộng đồng bảo mật tại Việt Nam, đây là tín hiệu đáng chú ý: kỹ năng phân tích kiến trúc cloud sâu kết hợp với công cụ AI đang trở thành hướng đi có giá trị cao, và các chương trình thưởng lớn như thế này mở ra cơ hội thu nhập đáng kể cho những ai theo đuổi con đường an ninh mạng chuyên nghiệp.