Google: 2025 hata ödül programında 17,1 milyon dolar ödedi

Google, hata ödül programı “Güvenlik Açığı Ödül Programı” (VRP) için 2025 yılı rakamlarını yayınladı. BT güvenliği araştırmacıları o yıl yeni bir rekorla 17 milyon dolardan fazla gelir elde etmeyi başardı.

Google, bir blog yazısında ayrıca ikramiyelerin dünya çapında 700'den fazla BT araştırmacısına ödendiğini yazıyor. Geçen yıl 747 BT araştırmacısı toplam 17,1 milyon dolar alırken, 2024'te 660 analist toplam 11,8 milyon dolar aldı. Ödenen tutar yüzde 40'tan fazla daha yüksek ve VRP'nin başlangıcından bu yana en yüksek tutar.

VRP, örneğin Android ve cihazlar, Chrome, bulut, AI veya açık kaynaklı yazılımlar için çeşitli ayrı programlara bölünmüştür. Yalnızca Android programı yaklaşık 2,9 milyon dolar ödedi. Google, platformu güçlendirmek için yatırım yaptığını söylüyor. Belleği koruyan dillerin ve donanım önlemlerinin kullanılması, saldırganların taktiklerinde bir değişikliğe yol açtı; bunun sonucunda kötü amaçlı araç kutularını uyarlamaları gerekiyor. En karmaşık istismarlar, kod açıklarından ziyade mantık hatalarına dayanıyordu. Yapay zeka, saldırı yüzeyinin genişlemesini temsil eder; araştırmacılar, cihazlardaki Gemini uygulamasında, örneğin kilit ekranını atlamak gibi mantık hataları keşfettiler.

VRP alt programlarından ilginç rakamlar

Google Chrome'da 100'den fazla BT araştırmacısı, toplam tutarı 3,7 milyon dolardan fazla olan ödüller aldı. JavaScript motoru v8'in sanal alanı, yeni kaçış fırsatlarının bulunduğu odak noktalarından biriydi. Google, süreçler arası iletişimde mantık hataları bulan, bunların kötüye kullanıldığını gösteren ve bunun karşılığında 250.000 ABD doları alan iki BT güvenlik araştırmacısını öne çıkarıyor.

Bulut hatası ödül programı daha da fazla BT araştırmacısının ilgisini çekti. 143 uzman, bildirilen güvenlik açıkları için 3,5 milyon dolardan fazla para aldı. Google, 2025 yılında bulut hizmetlerine ilişkin toplam 1.774 güvenlik raporunu işledi. Geçtiğimiz Ekim ayından bu yana Google, özellikle yapay zeka uygulamalarına yönelik bir hata ödül programı da yürütüyor. BT araştırmacıları yalnızca ikramiye olarak 390.000 dolar toplayabildiler; 2025 yılında yapay zeka açıklarına toplam 890.000 dolar harcandı. Google'ın Tokyo'daki ilk yapay zeka güvenlik etkinliği “AI bugSWAT”ta 70 geçerli rapor toplandı ve bu rapor, keşfedenlere 400.000 dolar kazandırdı. Açık kaynak yazılım alanında ise keskin bir düşüş yaşanıyor. Gönderilen 192 hata raporundan 62'si ödül almayı başardı – toplamda yaklaşık 330.000 ABD doları.

Google, 2026'da şirketin “bugSWAT” adını verdiği Tokyo'dakine benzer başka etkinlikler de planlıyor. Programda ayrıca “ESCAL8” adında bir BT güvenlik konferansı da yer alıyor.

Google en son 2023 yılına ilişkin ayrıntılı bir rapor sunmuştu. Burada 632 BT araştırmacısı toplam 10 milyon dolar ikramiye aldı.

(DMK)