谷歌上调Chrome内存漏洞基础奖励 从最低500美元提高到2,000美元 最高2万美元
内容提要
谷歌调整Chrome漏洞奖励计划：内存破坏漏洞基础奖励从500美元提至2000美元，受控写入最高2万美元；新增中危非内存安全漏洞奖励，恢复2000美元模糊测试奖金，并设年度社区奖项。谷歌称此举旨在鼓励研究人员发掘自动化工具难以发现的问题。
延伸解读
奖励结构调整的意图
谷歌将内存破坏漏洞的基础奖励从500美元提高到2000美元，并针对受控写入漏洞提供最高20000美元奖励。这一调整旨在鼓励研究人员寻找自动化工具难以发现的问题，尤其是那些需要人工深入分析的内存破坏漏洞。
漏洞分级与奖励差异
奖励金额根据漏洞类型和影响分级。例如，浏览器、网络和GPU进程中的受控写入漏洞最高奖励20000美元，而渲染器进程中的写入和释放后使用类漏洞最高奖励8000美元。V8引擎沙箱漏洞奖励5000美元，逻辑漏洞奖励4000美元。这种分级体现了对不同漏洞危害程度的评估。
新增奖励与复现要求
谷歌新增了非内存安全漏洞奖励，S2中危问题若包含修复方案或直接促成修复，可获得2000美元奖励。同时恢复了2000美元的Chrome Fuzzer Bonus，并设立年度社区奖项。此外，要求内存安全报告必须在谷歌基础设施上复现，否则可能仅限基础奖励，以确保奖励与可复现、实际影响较大的漏洞对应。
Q&A
谷歌Chrome漏洞奖励计划的内存破坏漏洞基础奖励现在是多少？
内存破坏漏洞的基础奖励从最低500美元提高到2,000美元。
Chrome漏洞奖励计划中，受控写入漏洞的最高奖励是多少？
在浏览器、网络和GPU进程中，经过证明的受控写入漏洞最高可获20,000美元奖励。
谷歌对内存安全报告有什么复现要求？
内存安全报告必须能在谷歌的基础设施上复现，如果没有适用测试环境的报告，奖励金额可能仅限基础奖励。
Chrome VRP新增了哪些非内存安全漏洞奖励？
新增非内存安全漏洞奖励：S2中危问题若报告包含修复方案或直接促成问题修复，可获得2,000美元奖励；影响较大的非内存安全沙箱逃逸漏洞最高提供20,000美元奖励。
谷歌恢复了什么模糊测试奖金？
谷歌恢复了2,000美元的Chrome Fuzzer Bonus，奖励开发并贡献新型模糊测试器的安全研究员。
谷歌为什么调整Chrome漏洞奖励计划？
谷歌称随着内部AI漏洞检测能力提升，奖励计划正在调整方向，鼓励安全研究员寻找自动化工具难以发现的问题。
