谷歌调整 Chrome 浏览器漏洞赏金计划：高危漏洞最高奖励 2 万美元

IT之家 10 月 14 日消息，谷歌借助安全研究人员提供的漏洞信息，配合内部安全团队，确保 Chrome 等应用能抵御漏洞攻击。最近几个月，谷歌对漏洞奖励计划（VRP）进行了多次修改，包括 5 月降低 Chrome 漏洞奖金、7 月利用 AI 增强 Chrome 安全性。现在，谷歌将对 Chrome 漏洞奖励计划进行新一轮更新。

谷歌在一篇博客文章中披露了新的奖金等级和漏洞分类。内存损坏类漏洞的基础奖金增至原标准的四倍，达到 2,000 美元（按当前汇率约合 13,410 元人民币）。此外，浏览器、图形处理器（GPU）和网络进程中可控读取与崩溃类型的漏洞报告，奖金为 4,000 美元（约合 26,820 元人民币）。而可控写入类漏洞的最高奖金可达 20,000 美元（约合 13.4 万元人民币）。

同时，渲染进程中的写入漏洞以及释放后重用（UAF）漏洞，奖金提高至最高 8,000 美元（约合 53,640 元人民币）。谷歌简化了 V8 沙箱漏洞和 V8 逻辑缺陷的奖金结构，分别统一固定为 5,000 美元（约合 33,525 元人民币）和 4,000 美元（约合 26,820 元人民币）。

为了进一步强化 Chrome 安全性，并鼓励研究人员在高危内存漏洞之外进行更多探索，谷歌新增了中危漏洞修复奖励。所有非内存安全类的中危漏洞，奖金为 2,000 美元（约合 13,410 元人民币）；高影响力漏洞的最高奖金为 20,000 美元（约合 13.4 万元人民币）。

谷歌还宣布恢复 2,000 美元（约合 13,410 元人民币）的 Chrome 模糊测试专项奖金。模糊测试（Fuzzing）是一种安全测试方法，通过向目标软件输入刻意构造的畸形或异常数据来发现安全漏洞。重新设立这一奖金，旨在奖励研究人员为 Chrome 开发新颖的专用模糊测试工具。

最后，谷歌新增了年终奖项，以表彰安全社区的漏洞提交成果，奖项包括“最多漏洞发现奖”、“最佳漏洞奖”和“最佳报告奖”。

如需了解更新后的分类、规则和奖金标准的详细信息，可以查阅更新后的 VRP 规则页面。谷歌特别说明：如果在 2026 年 4 月 30 日之后提交漏洞报告，且报告仍在审核队列中，将按照这套新奖金标准发放奖励。