حدثت شركة Google قواعد برنامج مكافآت الثغرات في متصفح Chrome، حيث أدرج سجل التغييرات في الصفحة الرسمية على منصة Google Bug Hunters مدخلاً لشهر أكتوبر 2026 تحت عنوان تحديث مبالغ المكافآت وفئاتها.
حددت القواعد المكافأة الأساسية لثغرات سلامة الذاكرة بمبلغ 2000 دولار، تتضاعف بناء على موقع الثغرة ومستوى الإثبات. في حال استغلال الثغرة من محتوى الويب ضمن عمليات المتصفح، والشبكة، والمعالج الرسومي، تصل المكافأة إلى 4000 دولار لثغرات القراءة أو التعطل، و10 آلاف دولار لثغرات الكتابة أو الاستخدام بعد التحرير، و10 آلاف دولار للقراءة المتحكم بها، و20 ألف دولار للكتابة المتحكم بها.
يشترط البرنامج إعادة إنتاج ثغرة الذاكرة على بنية Google التحتية لاستحقاق المكافأة، وتضمين التقرير حداً أدنى من التفاصيل، يشمل أثر ASAN مفصلاً بالرموز وملف إثبات مفهوم مصغر. وفي حال عدم استيفاء هذه الشروط، تملك لجنة البرنامج صلاحية منح مكافأة تقديرية تبلغ 1000 دولار.
أما بالنسبة للثغرات متوسطة الخطورة غير المرتبطة بسلامة الذاكرة، فتنال كل ثغرة يرافقها إصلاح محدد مكافأة أساسية.
وتضيف القواعد 2000 دولار عن أي ثغرة ذاكرة يعثر عليها فازر، وهو أداة اختبار عشوائي، قدم إلى برنامج Chrome Fuzzer الذي يشغل الفازرات على أجهزة Google وبحجمها. ويسرد الأسئلة الشائعة للبرنامج في مستودع Chromium تحديثاً لقواعد المساهمة بالفازرات الخارجية في أكتوبر 2026، وتقول الصفحة إن البرنامج يقبل حالياً فازرات ClusterFuzz.
حددت المنصة مكافآت خاصة بثغرات ميزات Gemini والذكاء الاصطناعي في متصفح Chrome، لتصل إلى 20 ألف دولار للإجراءات المارقة التي تغير حالة حسابات الضحية أو بياناتها بأثر أمني واضح، و10 آلاف دولار لتسريب البيانات الحساسة. تنخفض هذه المبالغ إلى 5 آلاف و3 آلاف دولار للثغرات الأقل أثراً. وتستثني القواعد التقارير المتعلقة بتجاوز ضوابط السلامة أو محاذاة النماذج.
تضمنت الفئات عالية الأثر مكافآت تصل إلى 10 آلاف دولار لثغرات تجاوز عزل المواقع، و5 آلاف دولار لكشف معلومات المستخدم، وانتحال شريط العنوان، ورفع الصلاحيات المحلية.
تبلغ مكافأة سلسلة الاستغلال الكاملة 250 ألف دولار لكل استغلال ناجح من محتوى الويب، بحد أقصى أربع مكافآت خلال عام 2026 بناءً على تحديث أبريل. وأكد سجل التغييرات صرف ثلاث مكافآت من هذا النوع حتى الآن، مقارنة بمكافأتين في شهر سبتمبر.
وتدعو الصفحة الباحثين الذين يستعينون بوكلاء ذكاء اصطناعي إلى مراعاة ملفات security.md في المستودع ومتطلبات الإبلاغ، وترسل البلاغات عبر Google Bug Hunters باختيار Chrome VRP.
