Un Vulnerability Reward Program (VRP) è un sistema di pagamenti strutturato che premia i ricercatori di sicurezza per aver segnalato in modo responsabile le falle a un fornitore prima che tali falle vengano utilizzate pubblicamente come arma. In pratica, un programma definisce quali tipi di bug sono idonei, come vengono verificate le segnalazioni e come i pagamenti aumentano in base a gravità, sfruttabilità e impatto.
I VRP sono importanti perché creano un percorso di divulgazione legale e controllato. Invece di vendere una scoperta o tenerla segreta, un ricercatore può inviare dettagli di proof of concept e aiutare il fornitore a correggere il problema. Nella sicurezza dei browser, per esempio, una ricompensa di alto valore può andare a una catena di exploit completa che esce da una sandbox o oltrepassa un confine di privilegio. I difensori usano i VRP per far emergere prima le debolezze, ridurre il vantaggio degli attaccanti e incoraggiare una ricerca accurata e documentata anziché lo sfruttamento silenzioso.