Google heeft de Chrome bug bounty beloningen voor een deel van de kwetsbaarheden opnieuw bijgesteld. Waar de browser in het voorjaar juist een stap terug deed in standaardvergoedingen, draait de organisatie nu de focus terug richting een specifiek type probleem: geheugenveiligheidsfouten.
De wijziging past in een bredere trend: vulnerability discovery verandert door nieuwe technieken en tools, inclusief AI. Daarmee schuift ook de manier waarop meldingen worden beoordeeld en beloond. Hieronder lees je wat Google precies aanpast en welke spelregels gelden voor onderzoekers.
Meer focus op geheugenveiligheid
In april verlaagde Google de standaarduitbetalingen voor sommige Chrome-kwetsbaarheden. Volgens onderzoekers werden beloningen in sommige gevallen tot tien keer kleiner, met als doel meer nadruk te leggen op meldingen die direct tot concrete verbeteringen leiden.
Nu komt er een duidelijke correctie voor geheugenveiligheidsissues. Google verhoogt de basisvergoeding voor dit type fouten van $500 naar $2.000. Ook al blijft de vergoeding onder het niveau van vóór de april-aanpassing, het is wel een substantiële stap omhoog.
Tot welke bedragen kunnen onderzoekers gaan?
De nieuwe beloningsstructuur is niet voor elke categorie gelijk. Google noemt expliciet dat kwetsbaarheden in verschillende onderdelen van Chrome kunnen leiden tot hogere uitbetalingen.
Voor kwetsbaarheden in browser-, GPU- en netwerkprocessen kunnen onderzoekers beloningen ontvangen van tot $20.000. Voor het rendererproces worden specifieke geheugen-gerelateerde bugtypes apart genoemd, met een mogelijke beloning tot $8.000 voor bijvoorbeeld:
- use-after-free
- memory write bugs
V8: sandbox en logic krijgen eigen tarieven
Google maakt ook onderscheid binnen de JavaScript-engine van Chrome, V8. Volgens de aangekondigde regels verschuiven beloningen naar een meer vaste aanpak voor bepaalde groepen fouten.
Zo krijgen V8 sandbox-kwetsbaarheden een flat rate van $5.000. Voor V8 logic bugs geldt een vergoeding van $4.000.
Hoewel dit beperkingen kan opleggen aan hoe hoog de opbrengst kan worden, geeft het onderzoekers wel duidelijkheid over wat Google verwacht voor dit type meldingen.
Niet-geheugenveiligheidsissues: voorwaardelijke beloning
Voor kwetsbaarheden die niet onder geheugenveiligheid vallen, gebruikt Google nog steeds andere criteria. In het bijzonder: bij medium-severity problemen kan de vergoeding oplopen tot $2.000, mits het rapport een identificeerbare fix bevat of er direct toe leidt.
Daarnaast noemt Google sandbox escapes buiten geheugenveiligheidsfouten om als categorie. In die gevallen kunnen beloningen volgens de aankondiging tot $20.000 gaan.
Nieuwe bonus: opnieuw geld voor innovatieve fuzzing
Naast de basis- en taarspecifieke beloningen introduceert Google ook een extra stimulans voor onderzoekers die bruikbare tooling ontwikkelen. Het bedrijf herintroduceert een $2.000 fuzzer bonus voor het bouwen van novel fuzzers (nieuwe of innovatieve fuzzing-aanpakken).
Dit sluit aan bij de bredere rol van fuzzing in moderne softwarebeveiliging: kwetsbaarheden opsporen wordt steeds meer een combinatie van slimme teststrategieën en gerichte triage.
Waarom Google dit nu wijzigt
Google verwijst niet alleen naar budgetverschuivingen, maar ook naar hoe vulnerability discovery zich ontwikkelt. In eerdere periodes verplaatste het bedrijf de aandacht naar “actiegericht” rapporteren, waarbij meldingen die meteen helpen bij fixes zwaarder wegen.
Er speelt daarnaast een praktische factor: Google noemde dat AI een grotere rol gaat spelen in het tempo en het volume van rapporten. Dat leidde in recente maanden tot bijstellingen en programma-aanpassingen. Je ziet dat ook terug in andere ontwikkelingen rondom bug bounty’s en responsible disclosure.
Wil je meer context over hoe security-onderzoek zich aanpast aan AI-gedreven risico’s? Lees dan bijvoorbeeld ook AI maakt phishing sneller: bouw veerkracht, waarin duidelijk wordt hoe aanvallers én defensie veranderen door automatisering.
Welke meldingen vallen onder de nieuwe regels?
Google verduidelijkt ook de timing. In de aankondiging staat dat inzendingen die al in de evaluatierij stonden, maar na 30 april 2026 zijn ingediend, worden beoordeeld volgens de nieuwe payout rules.
Met andere woorden: onderzoekers doen er verstandig aan om hun planning en rapportstatus goed te checken, zodat ze weten onder welk beloningsschema hun melding valt.
Wat betekent dit voor security research?
Voor onderzoekers en teams die Chrome-issues zoeken, is de boodschap duidelijk: geheugenveiligheid krijgt opnieuw meer prioriteit in de beloningsstructuur. Dat kan invloed hebben op welke bugclasses de meeste energie krijgen in analyses en testtrajecten.
Tegelijkertijd blijft de aanpak van Google verschillend per type probleem. Medium-severity bugs leveren niet automatisch het hoogste bedrag op; ze worden vooral beter beloond als ze aantoonbaar leiden tot een fix. Ook voor sandbox escapes buiten geheugenveiligheid bestaan er eigen spelregels.
Als je binnen je organisatie werkt aan het testen van webcomponenten en browser-ecosystemen, kan het helpen om beloningsstructuren te vertalen naar interne prioriteiten: welke tests brengen de meeste kans op “fix-waarde” en hoe meet je dat?
Tot slot is het interessant om te zien hoe Google daarnaast ook andere programma’s of kaders heroverweegt. In het bredere nieuws rond vulnerability disclosure duiken geregeld nieuwe voorwaarden op, bijvoorbeeld rondom rapportkwaliteit, tooling en beoordelingstijd.
Voor wie specifiek kijkt naar securityprogramma’s en incident-achtige publicatiecontext, is dit ook relevant: Meta GitHub-incident: 1.500 getroffen en code bloot laat zien hoe snel issues kunnen escaleren zodra code of kwetsbare onderdelen beschikbaar komen.
Conclusie
Met de update verhoogt Google de Chrome bug bounty beloningen opnieuw voor geheugenveiligheidsfouten. De basisvergoeding gaat naar $2.000, en afhankelijk van het onderdeel van Chrome kunnen onderzoekers oplopen tot $20.000. Daarnaast krijgen onderzoekers opnieuw een fuzzer bonus en blijft de beloningslogica per bugtype gedifferentieerd.
Voor security research betekent dit dat het loont om je rapportaanpak te alignen met de criteria die Google benadrukt: niet alleen een kwetsbaarheid melden, maar ook zorgen dat de melding waarde toevoegt voor concrete fixes.
Bron: https://www.securityweek.com/google-partially-reverses-chrome-bug-bounty-cuts/
