Google: bounty Android a 1,5 milioni, calo premi Chrome AI

Google: bounty Android a 1,5 milioni, calo premi Chrome AI

Google ha aggiornato il 5 maggio 2026 i Vulnerability Reward Programs per Android e Chrome, portando a oltre 1,5 milioni di dollari la ricompensa massima per exploit zero-click full-chain con persistence contro i chip Titan M e Titan M2 dei Pixel, e riducendo a quasi 500 dollari i premi base per le vulnerabilità di memory safety in Chrome, ora più facilmente individuabili tramite strumenti di intelligenza artificiale. La mossa non è un semplice aggiustamento economico: Big G sta tracciando il primo confine di mercato tra ricerca avanzata umana e commodity generativa, con conseguenze immediate su come ricercatori e aziende scriveranno e valuteranno i bug report nei prossimi mesi.

Pixel, il tetto dei bounty tocca 1,5 milioni di dollari: la nuova posta per gli exploit avanzati

Nel programma Android, la cifra più alta è riservata a una catena di exploit zero-click full-chain che garantisca persistence sui chip sicuri Titan M e Titan M2 dei dispositivi Pixel. La ricompensa può arrivare a oltre 1,5 milioni di dollari, mentre la stessa catena senza persistence vale fino a circa 750.000 dollari. Google ha spiegato che certi exploit ad alto impatto restano estremamente difficili da realizzare, e l'aumento serve a premiare proprio quel livello di ricerca. La cifra non è casuale: rappresenta quasi il triplo di quanto offerto in passato per categorie simili, e invia un segnale chiaro sulle priorità del team sicurezza.

La scelta di concentrare oltre 1,5 milioni di dollari su questo scenario specifico riflette una valutazione di rischio concreta: un attacco che persiste sul secure element di un Pixel compromette la radice di fiducia del dispositivo, rendendo inefficaci molte contromisure software standard. Non a caso, anche la ricompensa per l'exfiltrazione dati dal secure element è salita a un nuovo massimo di quasi 375.000 dollari, contro i precedenti circa 250.000 dollari. L'orientamento è inequivocabile: il budget si sposta dalle segnalazioni isolate verso le compromissioni complete di dispositivi aggiornati, dove la complessità tecnica richiede competenze su hardware, firmware e kernel in un'unica catena.

Chrome, i premi base crollano: l'intelligenza artificiale ridisegna le ricompense

Nel programma Chrome la riallocazione è altrettanto netta. I premi base per le vulnerabilità di memory safety sono stati ridotti a quasi 500 dollari, con moltiplicatori legati a reachability ed exploitability. Contestualmente, Google ha eliminato i bonus aggiuntivi per renderer RCE e arbitrary read/write, introdotti solo l'anno precedente. La ragione è esplicita: le analisi automatizzate e gli strumenti di intelligenza artificiale hanno reso più accessibili queste classi di bug, trasformandole da ricerca specializzata in commodity ad alto volume.

Non tutto Chrome perde valore. Un full-chain browser process exploit su sistemi aggiornati può ancora valere fino a 250.000 dollari, con un bonus aggiuntivo di circa 250.128 dollari per chi riesce a superare la protezione MiraclePtr. La lezione è che il programma premia la difficoltà tecnica e l'architettura dell'attacco completo, non più il singolo crash o leak di memoria. Per chi lavora sul browser, il messaggio è chiaro: segnalare una vulnerabilità isolata frutterà sempre meno, mentre dimostrare una catena eseguibile su build recenti manterrà un payout significativo.

Il dato complessivo del 2025, con oltre 81,6 milioni di dollari erogati dall'avvio del programma e circa 747 ricercatori pagati in un solo anno, dimostra che Google non sta chiudendo i rubinetti, ma sta selezionando il portfolio. L'obiettivo è proteggere gli utenti dai rischi più alti, non premiare il volume.

Report concetti e patch proposte: cosa Google chiede ora ai ricercatori

La rivoluzione non riguarda solo i soldi, ma il formato della collaborazione. Google ha comunicato che vuole report concetti, contenenti esclusivamente proof-of-concept e artefatti essenziali per la riproduzione e il routing del bug. Le lunghe analisi testuali, un tempo centrale nei submission, sono ora considerate meno rilevanti perché generabili automaticamente da modelli di intelligenza artificiale. Inoltre, la stessa azienda ha sottolineato che i propri tool interni evolvono rapidamente per spiegare e suggerire fix in automatico, riducendo il valore aggiunto di una narrazione estesa.

"Moving forward, we are shifting our program's focus to prioritize concrete proof that a bug exists. We now consider the most effective reports to be concise, containing only a reproducer and the necessary artifacts to help us validate and route the issue."

Per il programma Android, lo scope si restringe ulteriormente: le vulnerabilità del kernel Linux saranno considerate solo nei componenti mantenuti direttamente da Google, a meno che il ricercatore non dimostri concretamente l'exploitabilità sui dispositivi Android. Chi inoltra segnalazioni corredate da patch proposte riceverà incentivi extra. La direzione è tecnica e spietata: meno parole, più codice, e un percorso chiaro verso la mitigazione.

Cosa fare adesso

• Punta alle catene complete su hardware sicuro. Le ricompense più alte si concentrano sugli exploit zero-click full-chain con persistence contro i chip Titan M dei Pixel e sui full-chain browser process di Chrome con superamento di MiraclePtr. I ricercatori devo investire su competenze che coprano hardware, firmware e sandboxing, abbandonando la logica del singolo bug.
• Riduci il testo, aumenta il codice. I report devono diventare essenziali: un reproducer funzionante e gli artefatti minimi per validare la vulnerabilità valgono più di una dissertazione tecnica. Evita narrazioni estese che strumenti di intelligenza artificiale possono generare in pochi secondi.
• Allega patch proposte, se possibile. Soprattutto nel programma Android, Google ha previsto incentivi extra per le submission che includono una correzione. Preparare il fix insieme al PoC aumenta il payout e velocizza il processo di mitigazione.
• Rivedi le policy interne se gestisci un programma bounty. Le aziende che amministrano VRP propri dovrebbero anticipare il trend: privilegiare proof-of-concept e proof-of-exploitability rispetto a descrizioni testuali, e prepararsi a ricalibrare le cifre in base all'impatto reale e alla difficoltà tecnica.

L'aggiornamento dei programmi VRP segna un punto di inversione: per la prima volta una big tech collega esplicitamente la scala dei premi alla resistenza agli strumenti automatizzati. Se il modello Google diventerà standard di settore, la ricerca di vulnerabilità si dividerà sempre più tra commodity a basso margine e ricerca avanzata su hardware sicuro, con un abisso economico in mezzo che ricalibrerà le carriere e gli investimenti in formazione per gli anni a venire.

Domande frequenti

Perché Google ha ridotto i premi per le vulnerabilità Chrome se il numero di ricercatori pagati è cresciuto?

Le fonti indicano che nel 2025 Google ha pagato circa 747 ricercatori, con un incremento quasi del 40% rispetto al 2024. La riduzione dei premi per classi di bug ora più accessibili tramite intelligenza artificiale serve a ricalibrare il budget verso le scoperte a più alto impatto, non a tagliare il volume complessivo delle ricompense.

Cosa rende un exploit "zero-click full-chain con persistence" su Titan M così difficile?

Secondo la dichiarazione riportata dalle fonti, certi exploit particolarmente impattanti restano incredibilmente difficili da realizzare. La catena richiede il compromettere più strati di difesa senza interazione dell'utente e mantenendo la persistenza sul chip sicuro, un livello di complessità che strumenti automatizzati non raggiungono ancora.

Come verificherà Google se un report è stato generato da un'intelligenza artificiale?

Non è noto. Le fonti riportano che la policy di Google è qualitativa e non definisce criteri tecnici automatici per verificare la provenienza AI-driven di una segnalazione. La richiesta di report concetti e proof-of-concreti agisce da filtro indiretto, ma i dettagli operativi restano non divulgati.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://www.bleepingcomputer.com/news/security/google-now-offers-up-to-15-million-for-some-android-exploits/
• https://www.helpnetsecurity.com/2026/05/05/google-vulnerability-reward-program-android-chrome-pixel/
• https://www.securityweek.com/google-adjusts-bug-bounties-chrome-payouts-drop-as-android-rewards-rise-amid-ai-surge/