Google上调Chrome内存漏洞基础奖励 从最低500美元提高到2000美元 最高2万美元

奖励金额按照漏洞类型和影响分级：

浏览器、网络和 GPU 进程中，读取或崩溃类的漏洞最高奖励 4，000 美元，写入及释放后使用类漏洞最高奖励 10000 美元，受控读取最高 10000 美元，受控写入最高 20000 美元。

渲染器进程中的写入和释放后使用类漏洞最高奖励 8000 美元，V8 引擎沙箱漏洞均为 5000 美元，而 V8 引擎的逻辑漏洞为 4000 美元。其他受沙箱保护进程的读取或崩溃类漏洞奖励 2，000 美元，写入和释放后使用类漏洞奖励 3000 美元。

Google还要求内存安全报告必须能在Google的基础设施上复现，如果没有适用测试环境的报告，奖励金额可能仅限基础奖励。Google称这个要求主要是将奖励和可复现、实际影响较大的漏洞对应起来。

新增中危奖励并恢复 Fuzzer 奖金：

Chrome VRP 计划还新增非内存安全漏洞奖励，S2 中危问题若报告包含修复方案或直接促成问题修复，可以获得 2000 美元奖励。如果是影响较大的非内存安全沙箱逃逸漏洞，最高也提供 20000 美元奖励。

Google还恢复 2000 美元的 Chrome Fuzzer Bonus，奖励开发并贡献新型模糊测试器的安全研究员。Google还新增年度社区奖项，例如最佳报告和最佳漏洞。Google称随着内部 AI 漏洞检测能力提升，奖励计划正在调整方向，鼓励安全研究员寻找自动化工具难以发现的问题。