开发者称通过谷歌漏洞奖励计划提交86份报告仅获250美元

说明一下：我并不反对 Google。 我自己的项目 Box，最初就是从他们的 AI Edge Gallery 分叉出来的，过去一年里我几乎每天都在做这个项目。Google 也把我的分叉里的功能拿回他们自己的项目中，所以这是双向的。我在这里说的具体是：我通过他们自己的流程报告了真实、可复现的安全漏洞后发生的事情——他们用了这些工作成果，却没有为此付费。 我还维护 Iris，这是一个面向现代安全与隐私的加固版 Chromium 分叉。

过去一年的大部分时间，我做的就是这些事。我逆向分析了 Samsung 的 radio 栈、IMS 和 RTP 媒体代码、Trusty 可信应用、MediaTek M90 modem RIL，以及 Google 当前手机上 Android telephony framework，还有很多其他东西。我通过 Android 和 Google Devices Vulnerability Reward Program 提交了 86 份报告。其中 95% 都有可工作的 PoC。 所有这些加起来，总共支付给我：250 美元。只有一笔。

这不是一次运气不好的工单。同样的事情以三种不同方式反复发生。

他们在关闭我的漏洞之后又把它修了。我从 Google 当前出厂镜像中提取每一份已关闭报告对应的二进制文件，并对报告中点名的那个函数做 diff。其中 8 个已经在出货代码中修复：在我指出缺失的位置，正好新增了一个边界检查、一个权限检查、一个校验步骤。这 8 个每一个最初都以“重复”或“不是漏洞”被关闭。没有一个获得报酬。没有一个获得致谢。另外两个后来在 QPR3 beta 中修复了。

他们用代码本身反驳的理由关闭了漏洞。另有十几份报告以重复、不可行或“无法复现”被关闭，而确切的缺陷在当前构建中仍然原封不动地存在。对于未修复的漏洞，没有人欠我奖励，我也不是在主张奖励。问题更具体：他们给出的关闭理由，经不起对实际二进制文件的检查。

他们在一月以书面形式承诺了奖励，至今仍未支付。Google 确认了一个有效漏洞，提高了严重性，提高了奖励金额，这些都是书面的。三个月后，他们在没有新证据的情况下推翻了这三项决定。然后他们说会“信守承诺”，仍然支付这笔钱，作为 250 美元的“酌情支付例外”。那是一月的事。经过十个月的“处理中 / 很快 / 没有日期”，这笔钱仍然没有支付，但该报告是在 2025 年 12 月之前提交的。

那个讨论串里有一句话我至今无法理解。他们以书面形式告诉我，他们正在支付 Safety Center 的奖励，“尽管我们的最终技术评估将其评为一份没有安全影响的报告的重复项”。如果没有安全影响，就没有支付依据。如果值得支付，那么“没有安全影响”就是假的。这两句话都写在工单里。

250 美元，Safety Center 报告（中危）。一月书面批准，此后多次书面确认。十个月后仍未支付。工单已关闭……

两份高危报告，仍然处于“Assigned”。两份都被 Google 正式评为高危。奖励未定，CVE 未分配。其中一份截至目前的 Google 最新固件镜像中，已经在 Google 出货代码中修复了……？！？！？

一份中危报告，仍然处于“Assigned”。10 月 28 日评为中危。奖励未定。

关闭后修复的十个发现。以重复、不可行或不是漏洞被关闭，随后在出货代码中修复。没有奖励，没有致谢……！？

所有这些实际收到的总额：250 美元……

下面表格中的每一项都是已关闭报告，并引用了 Google 自己在追踪系统中的原话。三份仍处于“Assigned”的报告，以及任何处于活跃协同披露中的内容，都刻意排除在技术细节之外。

下表中每一份已关闭报告都采用同一方法： 判定结果为 PATCHED（在我报告时不存在的检查被添加了）、STILL PRESENT（代码未变）、N/A（针对的就是这个确切构建报告的，或 Google 称其为预期设计），以及 CANT-DETERMINE（二进制缺失或构建不匹配）。 我没有使用 Google 的公告或补充补丁列表来做这件事。没有公告条目、没有致谢的静默修复，按定义不会出现在那里。你必须对出货代码做 diff，这就是本文所做的。

关于工单 467575499 / 470814942，2026 年 1 月 23 日，Google 写道，他们“确认这是一个有效漏洞”，“提高严重性”，“提高奖励”，并将“在新金额处理完成后支付”。4 月 24 日，在没有新分析的情况下，他们推翻了这三项决定。同一个漏洞现在“不符合奖励或提高严重性的条件”，被称为“最终评估”。

六月，他们写道，他们想“信守我们关于奖励的承诺”。7 月 10 日，他们给出了数字：“Safety Center 250 美元，麦克风漏洞 250 美元，总计 500 美元”，并说他们“履行最初的承诺”，同时仍称 Safety Center 那一半是没有安全影响的重复项。麦克风那一半已支付。Safety Center 那一半进入了“酌情支付例外”，用他们的话说，没有“确切的致谢日期”。那是一月的事。最近一次回复是在十月，说的还是同样的话：仍然批准，没有日期。

Google 会将报告作为内部规范 bug ID 的重复项关闭。我要求提供我几份报告背后的具体 ID。对于两个不相关的漏洞：一个可信应用中的 Rust keystore panic，以及一个 RTP 媒体解析器中的 C++ 越界读取，他们给出了同一个内部 ID 479203197 作为原始报告。不同语言、不同子系统、不同团队。一份内部报告不可能是两者的根本原因。 他们在两份工单上都以书面形式承认了这一点：“把你的另一份报告的这个 ID 给你，是我们这边的错误”，以及另一句，“我们在链接重复工单时犯了错误。”所以至少有一个“已验证重复项”，是在没有人将其与所点名报告进行核对的情况下盖上去的。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）