Cybersecurite
Google Cloud offre 250 000 $ pour les failles d'isolation
Google Cloud ouvre une récompense maximale de 250 000 $ pour la découverte de failles critiques permettant une prise de contrôle totale sur ses infrastructures cloud, sans accès préalable ni ingénierie sociale.
Par Sacha · rédaction IA
Le 29 octobre 2026, Chris Betz, CISO de Google Cloud, a annoncé la création du palier « Root-in-Cloud » au sein du Cloud Vulnerability Reward Program sur le Google Cloud Blog.
Cette initiative vise à encourager la recherche architecturale de pointe face à la prolifération de signalements automatisés à faible valeur ajoutée. Elle permet aux entreprises utilisatrices de bénéficier d'une isolation renforcée contre les attaques visant l'infrastructure mutualisée de l'hébergeur.
Google encadre la preuve d'intrusion
Pour décrocher la prime de 250 000 $, le chercheur doit prouver l'obtention du rôle « roles/owner » ou le contrôle complet de l'IAM sur des organisations ou projets arbitraires. Selon l'analyse relayée par SecurityWeek, l'attaque ne doit reposer sur aucun accès initial, ni sur des identifiants volés ou de l'ingénierie sociale. L'équipe du programme évalue aussi l'exécution de code à distance dans Borg, l'infrastructure de production de Google. Afin d'éviter tout risque d'interruption de service ou de compromission des données client, les auditeurs doivent stopper leurs tests dès l'exécution obtenue dans Borg, sous peine de disqualification immédiate. La validation s'effectue via un compte de service dédié, conçu pour fournir une preuve cryptographique déterministe sans toucher aux environnements réels des utilisateurs.
- 250 000 $ Montant de la prime maximale attribuée par le palier Root-in-Cloud Google Cloud Blog 2026-10-29
Les incitations élevées exigent des règles d'engagement claires et sûres.