谷歌上调Chrome内存漏洞基础奖励从最低500美元提高到2,000美元最高2万美元

2026年10月15日 11:00安全资讯, 科技资讯00.20K

#安全资讯谷歌宣布立即调整 Chrome VRP 漏洞奖励计划，将内存破坏问题的漏洞基础奖励从 500 美元提高到 2,000 美元。其他类型的漏洞最高仍然可以获得 20,000 美元的奖励，谷歌希望借此鼓励安全研究人员寻找自动化工具难以发现的问题。谷歌内部正在使用 AI 发掘各种组件的漏洞，不过总有些问题还得靠人工发掘。查看全文：https://ourl.co/127402

谷歌日前发布公告宣布调整 Chrome 漏洞奖励计划 VRP，新规则宣布立即生效，鼓励安全研究人员针对谷歌浏览器的内存破坏问题寻找漏洞。此次更新后，内存破坏漏洞的基础奖励从最低 500 美元提高到 2,000 美元，而浏览器、网络和 GPU 进程中经过证明的受控写入漏洞最高可获 20,000 美元奖励。

浏览器、网络和 GPU 进程中，读取或崩溃类的漏洞最高奖励 4,000 美元，写入及释放后使用类漏洞最高奖励 10,000 美元，受控读取最高 10,000 美元，受控写入最高 20,000 美元。

渲染器进程中的写入和释放后使用类漏洞最高奖励 8,000 美元，V8 引擎沙箱漏洞均为 5,000 美元，而 V8 引擎的逻辑漏洞为 4,000 美元。其他受沙箱保护进程的读取或崩溃类漏洞奖励 2,000 美元，写入和释放后使用类漏洞奖励 3,000 美元。

谷歌还要求内存安全报告必须能在谷歌的基础设施上复现，如果没有适用测试环境的报告，奖励金额可能仅限基础奖励。谷歌称这个要求主要是将奖励和可复现、实际影响较大的漏洞对应起来。

Chrome VRP 计划还新增非内存安全漏洞奖励，S2 中危问题若报告包含修复方案或直接促成问题修复，可以获得 2,000 美元奖励。如果是影响较大的非内存安全沙箱逃逸漏洞，最高也提供 20,000 美元奖励。

谷歌还恢复 2,000 美元的 Chrome Fuzzer Bonus，奖励开发并贡献新型模糊测试器的安全研究员。谷歌还新增年度社区奖项，例如最佳报告和最佳漏洞。谷歌称随着内部 AI 漏洞检测能力提升，奖励计划正在调整方向，鼓励安全研究员寻找自动化工具难以发现的问题。