El programa de recompensas por vulnerabilidades (VRP) de Google celebró su 15º aniversario en 2025 rompiendo todos los récords de pagos en su historia.

El gigante tecnológico entregó la impresionante cifra de 17 millones de dólares a investigadores de seguridad externos en todo el mundo, lo que representa un aumento masivo del 40% en comparación con 2024.

Más de 700 hackers éticos de todo el planeta identificaron y revelaron responsablemente vulnerabilidades, demostrando la continua necesidad de la investigación de seguridad impulsada por la comunidad para proteger la infraestructura crítica.

La inteligencia artificial dominó el modelado de amenazas y el enfoque de seguridad de Google el año pasado. Para abordar la rápida evolución de la superficie de ataque de los modelos de aprendizaje automático, Google lanzó oficialmente un programa de recompensas por vulnerabilidades dedicado a la IA.

Anteriormente gestionado bajo el paraguas del programa VRP de Abuso, esta nueva categoría independiente proporciona a los investigadores reglas de alcance precisas y niveles de recompensa claros para exploits específicos de IA. El equipo de seguridad del navegador también se adaptó a estas amenazas emergentes.

Programa de recompensas por errores de Google

El VRP de Chrome ahora incluye categorías de recompensas específicas dedicadas por completo a fallos descubiertos en las funciones de IA integradas y Gemini de Chrome. El compromiso activo de la comunidad impulsó gran parte del éxito sin precedentes de 2025.

Google organizó múltiples ediciones de bugSWAT, una serie exclusiva de eventos de hacking en vivo solo por invitación que se enfoca en superficies de ataque de alta prioridad.

Los principales eventos bugSWAT de 2025 incluyeron:

• El bugSWAT de Sunnyvale Cloud generó 130 informes de vulnerabilidades y 1,6 millones de dólares en pagos.
• El bugSWAT de IA en Tokio produjo más de 70 informes y 400.000 dólares en recompensas durante abril.
• El bugSWAT de Ciudad de México pagó 566.000 dólares por 107 informes que abarcaban objetivos de IA, Android y Cloud.
• El bugSWAT de Las Vegas sumó 77 informes verificados y 380.000 dólares en recompensas al total anual.

Más allá del hacking directo de productos, Google lanzó un programa único de recompensas por parches para OSV-SCALIBR, una herramienta de código abierto que detecta vulnerabilidades en dependencias de software.

Ahora, los colaboradores de seguridad ganan recompensas por crear plugins novedosos para OSV-SCALIBR que mejoren el seguimiento de inventario o la detección de secretos. Google señaló que estas contribuciones de la comunidad ya han ayudado a la empresa a descubrir y remediar secretos filtrados internamente.

La expansión global también recibió una gran mejora con el lanzamiento de ESCAL8, una conferencia de seguridad dedicada celebrada en Ciudad de México. El evento incluyó seminarios técnicos de liderazgo de pensamiento, talleres para estudiantes y la final de HACKCELER8 Capture the Flag (CTF).

Google planea mantener este impulso en 2026 ampliando su colaboración con la comunidad de seguridad externa.

El equipo del VRP está programando activamente nuevos eventos bugSWAT a nivel mundial y preparándose para la próxima edición de la conferencia ESCAL8.

A medida que los actores de amenazas se adaptan continuamente a las nuevas tecnologías, las grandes inversiones de Google en recompensas por errores destacan una estrategia clara. La investigación de seguridad crowdsourcing sigue siendo una de las defensas más fuertes contra las amenazas cibernéticas emergentes.