Google Tawarkan Hadiah US$250.000 untuk Penemu Celah Kritis Google Cloud Melalui Program Bug Bounty
Google mengumumkan peningkatan hadiah dalam program Cloud Vulnerability Reward Program (VRP) dengan menawarkan imbalan hingga US$250.000 bagi peneliti keamanan yang berhasil menemukan kerentanan kritis pada infrastruktur Google Cloud.
Kategori hadiah terbaru ini dikenal sebagai Root-in-Cloud, yang ditujukan untuk kerentanan berdampak sangat tinggi, terutama yang memungkinkan penyerang mengambil alih organisasi atau project Google Cloud tanpa memiliki akses sebelumnya.
Pengumuman tersebut disampaikan oleh Chris Betz, Chief Information Security Officer (CISO) Google Cloud, pada 29 Oktober 2026.
Google menjelaskan bahwa peningkatan hadiah ini bertujuan mendorong penelitian keamanan yang lebih mendalam, khususnya terhadap kelemahan arsitektur cloud yang sulit ditemukan melalui pemindaian otomatis.
Hadiah US$250.000 untuk Akses Administrator Penuh
Berbeda dari program bug bounty yang memberikan hadiah berdasarkan tingkat keparahan kerentanan, kategori Root-in-Cloud memiliki persyaratan teknis yang lebih ketat.
Untuk memenuhi syarat hadiah tertinggi, peneliti harus membuktikan bahwa kerentanan yang ditemukan memungkinkan pengambilalihan administratif secara penuh terhadap organisasi atau project Google Cloud yang sebelumnya tidak dapat mereka akses.
Tingkat kontrol yang dimaksud setara dengan hak akses roles/owner atau kemampuan mengendalikan seluruh kebijakan Identity and Access Management (IAM).
Dalam lingkungan Google Cloud, IAM digunakan untuk menentukan siapa yang dapat mengakses resource serta tindakan yang dapat dilakukan.
Apabila penyerang berhasil memperoleh hak akses administratif penuh, mereka berpotensi mengendalikan resource cloud, mengubah konfigurasi keamanan, dan memberikan izin kepada identitas lain.
Karena dampaknya sangat serius, Google memberikan insentif lebih tinggi bagi peneliti yang mampu mengidentifikasi kelemahan tersebut secara bertanggung jawab.
Kerentanan Tenant Isolation Jadi Target Utama
Google menjelaskan bahwa Root-in-Cloud berfokus pada kerentanan arsitektur yang dapat melewati batas keamanan antarpelanggan.
Salah satunya adalah tenant-isolation bypass, yaitu kelemahan yang memungkinkan satu pelanggan mengakses atau mengendalikan resource pelanggan lain pada infrastruktur cloud bersama.
Dalam layanan cloud, isolasi tenant merupakan mekanisme penting untuk memastikan data dan resource setiap pelanggan tetap terpisah.
Google juga memberikan perhatian terhadap cross-service logic flaws, yaitu kelemahan logika yang muncul akibat interaksi antarlayanan Google Cloud.
Kerentanan semacam ini dapat terjadi ketika beberapa komponen secara individual terlihat aman, tetapi kombinasi perilakunya menciptakan jalur akses yang tidak seharusnya tersedia.
Menurut Google, menemukan kelemahan tersebut membutuhkan pemahaman mendalam mengenai arsitektur sistem, bukan sekadar menjalankan scanner keamanan.
Remote Code Execution pada Infrastruktur Borg Juga Dievaluasi
Selain pengambilalihan organisasi atau project, Google turut mempertimbangkan temuan Remote Code Execution (RCE) pada infrastruktur produksinya.
Salah satu sistem yang disebutkan adalah Borg, platform orkestrasi internal Google yang digunakan untuk mengelola workload pada infrastruktur komputasinya.
Peneliti yang berhasil membuktikan eksekusi kode pada Borg atau memperoleh akses tingkat root di lingkungan produksi dapat mengajukan laporan untuk dievaluasi dalam kategori Root-in-Cloud.
Namun, keberhasilan menjalankan kode tidak otomatis menjamin hadiah US$250.000.
Panel Google Cloud VRP akan mengevaluasi konteks eksekusi, jalur serangan, dan kemungkinan dampak terhadap isolasi pelanggan maupun pengambilalihan project.
Google juga menetapkan aturan ketat bahwa peneliti harus segera menghentikan pengujian setelah berhasil mengeksekusi kode pada infrastruktur Borg.
Upaya meningkatkan hak akses lebih jauh, mengambil kredensial produksi, atau melakukan pergerakan lateral tidak diperbolehkan dan dapat menyebabkan diskualifikasi.
Google Larang Pengujian pada Project Pelanggan Sungguhan
Untuk menjaga keamanan pelanggan, Google menetapkan sejumlah pembatasan terhadap metode eksploitasi yang dapat memperoleh hadiah Root-in-Cloud.
Kerentanan yang dilaporkan tidak boleh bergantung pada akses awal ke project korban, kredensial yang bocor atau dicuri, maupun teknik rekayasa sosial.
Eksploitasi juga tidak boleh membutuhkan interaksi pengguna atau konfigurasi khusus pada project target.
Sebagai alternatif untuk pengujian yang berpotensi membahayakan pelanggan, Google menyediakan mekanisme verifikasi khusus bernama proof-of-root.
Melalui mekanisme ini, peneliti dapat membuktikan kemampuan akses tidak sah secara kriptografis menggunakan service account yang telah ditentukan Google.
Pendekatan tersebut memungkinkan tim keamanan mengevaluasi temuan tanpa meminta peneliti mencoba mengambil alih project pelanggan yang sebenarnya.
Michael Cote, pemimpin Google Cloud VRP, menegaskan bahwa keselamatan pelanggan tetap menjadi prioritas utama dalam program ini.
Google Ingin Dorong Penelitian Keamanan di Era AI
Peningkatan hadiah ini juga berkaitan dengan perkembangan penggunaan artificial intelligence dalam penelitian keamanan siber.
Menurut Google, kemajuan AI agent dan alat otomatisasi telah meningkatkan jumlah laporan kerentanan yang diterima melalui program bug bounty.
Namun, tidak seluruh laporan tersebut menunjukkan kelemahan keamanan yang benar-benar dapat dieksploitasi.
Sebagian laporan hanya mengandalkan hasil pemindaian otomatis, sedangkan lainnya mengandung kesimpulan yang tidak akurat.
Google menilai bahwa kombinasi kreativitas manusia dan kemampuan AI dapat memberikan hasil penelitian yang lebih berkualitas dibandingkan otomatisasi tanpa pengawasan.
Karena itu, perusahaan ingin memberikan penghargaan lebih besar untuk temuan yang membutuhkan analisis mendalam dan memiliki dampak nyata terhadap keamanan cloud.
Google juga mengingatkan peneliti agar mengikuti prinsip coordinated vulnerability disclosure dan tidak mempublikasikan kerentanan yang belum diperbaiki secara terburu-buru.
Program Bug Bounty Google Telah Bayarkan Puluhan Juta Dolar
Google termasuk perusahaan teknologi yang telah lama menjalankan program penghargaan kerentanan keamanan.
Sejak meluncurkan Vulnerability Reward Program pertamanya pada 2010, Google telah memberikan lebih dari US$81,6 juta kepada ribuan peneliti keamanan di seluruh dunia.
Pada 2025, perusahaan mencatat pembayaran bug bounty sebesar US$17,1 juta kepada lebih dari 700 peneliti, meningkat sekitar 40% dibandingkan tahun sebelumnya.
Penambahan kategori Root-in-Cloud memperlihatkan bahwa Google terus memperbesar insentif bagi penelitian yang berpotensi mencegah serangan berskala besar terhadap infrastruktur cloud.
Bagi organisasi yang menggunakan Google Cloud, temuan pada sistem IAM, isolasi tenant, dan infrastruktur produksi memiliki dampak penting karena berkaitan langsung dengan perlindungan resource serta data pelanggan.
Dengan hadiah hingga US$250.000, Google berharap dapat menarik lebih banyak peneliti keamanan untuk menemukan kelemahan arsitektur cloud yang kompleks sebelum dimanfaatkan oleh penyerang.
Sumber: Google Cloud — Cloud CISO Perspectives: Introducing New $250,000 Tier for Google Cloud VRP
