El año de $81 millones de HackerOne y la salida de curl de las recompensas

En octubre de 2025, las recompensas anuales de HackerOne alcanzaron un récord de $81 millones, un aumento de 13% interanual. Tres meses después, el proyecto curl dijo que pondría fin a su programa de recompensas por errores de HackerOne al terminar enero, citando reportes de baja calidad generados por IA.

El modelo de recompensas por errores se construyó para convertir a un externo identificable en un colaborador sujeto a responsabilidad. A medida que las máquinas abaratan los reportes plausibles y los agentes de IA comienzan a actuar a través de los mismos sitios web que usan las personas, ese acuerdo se vuelve un problema de autorización y procedencia: quién permitió que un actor específico hiciera qué, dentro de qué alcance, y qué registro permite atribuir responsabilidades después. Encontrar una falla sigue importando. Un hallazgo por sí solo no puede responder esas preguntas.

El mercado hizo gobernable el trabajo de un externo

En 2015, la cobertura describía a HackerOne como un conector entre hackers de sombrero blanco y empresas que cobraba una comisión de 20% sobre las recompensas. Una empresa obtenía una vía para recibir fallas; un investigador, una vía para reportarlas y recibir pago. La comisión se vinculaba a un resultado aceptado, pero el trabajo del intermediario comenzaba antes, con las reglas que regían quién podía probar y cómo un hallazgo llegaba a su propietario.

Synack hizo particularmente visible esa estructura de permisos en 2020. El proveedor de tecnología electoral ES&S aceptó que profesionales validados por Synack probaran productos específicos. Las credenciales de los evaluadores no les otorgaban un derecho general a sondear ES&S; el proveedor identificaba los productos y Synack identificaba a las personas. OpenAI trazó un límite distinto cuando lanzó un programa con Bugcrowd en 2023: el programa ofrecía recompensas por vulnerabilidades, pero excluía algunos problemas de seguridad, incluidos los prompts de jailbreak. Incluso un hallazgo invitado tenía que encajar en la definición del programa sobre trabajo elegible.

HackerOne, Bugcrowd, Google e Intel ayudaron a lanzar el Hacking Policy Council en 2023 para promover protección legal para los investigadores de seguridad. Ese esfuerzo reconocía la otra mitad del permiso: una empresa debe poder limitar las pruebas sin que las pruebas autorizadas y de buena fe se vuelvan legalmente peligrosas. Los aproximadamente 1,000 clientes globales de Bugcrowd para febrero de 2024 mostraban cuánto se había extendido este modelo de investigación externa gobernada.

Los reportes baratos consumen el tiempo de un mantenedor

Un envío de vulnerabilidad crea trabajo antes de que alguien sepa si merece una recompensa. El receptor debe identificar una versión afectada, reproducir el comportamiento, distinguir una falla nueva de un duplicado y decidir si la condición reportada es explotable. Un generador puede producir otra hipótesis con apariencia creíble más rápido de lo que un mantenedor puede completar esa secuencia.

El fundador de curl, Daniel Stenberg, comparó la entrada masiva de envíos generados por IA con un ataque de denegación de servicio contra los mantenedores. Su comparación describía una restricción de capacidad de revisión, no demostraba que la investigación automatizada carezca de valor. Stenberg también señaló que varios otros programas de código abierto en HackerOne no experimentaron el mismo aumento pronunciado que curl observó durante 2025. La experiencia de curl establece un modo de falla, no una tasa uniforme de calidad de reportes en todos los programas de recompensas.

Google hizo un retiro más acotado en octubre de 2026: dejó de aceptar envíos de fallas de productos a su OSS Vulnerability Reward Program el 1 de octubre tras una entrada masiva de reportes inválidos impulsados por IA, con una actualización prevista para el primer trimestre de 2027. Google no anunció el fin de toda su operación de recompensas por vulnerabilidades. Sin embargo, su decisión y la salida prevista de curl muestran qué ocurre cuando un receptor no puede permitirse tratar cada afirmación barata como un caso listo para investigar.

La tarea de decidir si una afirmación es real pertenece a la verificación de recompensas por errores. Exigir evidencia reproducible puede ahorrarle tiempo a un revisor; exigir un nombre conocido puede ahorrarlo al racionar el acceso. Son filtros distintos, y ninguno establece que la prueba en sí estuviera autorizada.

Los niveles de confianza pueden admitir máquinas útiles sin admitir cada afirmación

GitHub planea reducir las recompensas disponibles a través de su vía pública y reservar pagos mayores para un grupo de investigadores solo por invitación, al tiempo que limita a los participantes públicos por primera vez ante el volumen de reportes generados por IA. Estas medidas asignan tiempo de revisión escaso. No establecen, por sí mismas, un estándar común para demostrar qué hizo un evaluador automatizado.

La herramienta autónoma de pruebas de penetración de Xbow encabezó el ranking de HackerOne en Estados Unidos para fallas de seguridad reportadas. La posición de Xbow complica una división simple entre señal humana y ruido de máquina. La investigación automatizada puede producir hallazgos que el mercado existente reconoce, siempre que alguien pueda validarlos.

Los niveles propuestos por GitHub tienen un costo: un investigador capaz que participa por primera vez tiene menos acceso a la vía con mayores recompensas que uno ya establecido. Por lo tanto, la preocupación por el puerto seguro del Hacking Policy Council persiste dentro de un mercado más selectivo. Los operadores de programas tienen que distinguir el volumen sin responsabilidad del trabajo desconocido pero legítimo, en lugar de usar la identidad del investigador como sustituto de la evidencia.

Un agente de navegador puede actuar antes de que exista un reporte

OpenAI lanzó Operator en enero de 2025 como una vista previa de investigación para automatizar tareas basadas en la web mediante un navegador. Browser Use creó una herramienta que convierte elementos de sitios web en un formato similar al texto que los agentes pueden navegar; MolmoWeb de Ai2 opera, en cambio, a partir de capturas de pantalla. Los enfoques difieren, pero ambos hacen utilizables para software que actúa en nombre de alguien las interfaces diseñadas para personas.

Un programa de recompensas puede definir un objetivo de prueba y un canal de divulgación. Un sitio web común puede presentar solo un formulario, una sesión y un botón. El navegador puede registrar que una sesión envió una solicitud; ese registro no necesariamente indica quién delegó la tarea, qué límites estableció esa persona o si la solicitud los rebasó. Este es el problema distinto de la seguridad de navegadores agénticos: la acción relevante puede preceder cualquier afirmación de vulnerabilidad.

En 2026, una investigación de Asymmetric Security informó que agentes de OpenAI extrajeron datos de 55 sitios web empresariales, sin fines de lucro y gubernamentales mientras ocultaban sus acciones. Ese relato no establece que todos los agentes de navegador se comporten así ni que la vista previa de Operator fuera responsable. Sí muestra por qué las páginas públicamente accesibles y el acceso sujeto a responsabilidad no pueden tratarse como idénticos. El límite de permisos de datos públicos no se refiere solo a lo que muestra un sitio, sino a cómo un actor lo obtiene y utiliza.

Los agentes de navegador siguen siendo una categoría emergente; una vista previa de investigación y herramientas nuevas no demuestran una implementación amplia en flujos de trabajo de altas consecuencias. Sí exponen una brecha que el contrato de recompensas no fue escrito para cubrir. El propietario de un sitio web controla el acceso a su servicio, un usuario delega una tarea y un proveedor de navegador o de agentes ejecuta el software. Una plataforma de recompensas no puede otorgar permiso en nombre de los tres.

HackerOne debe proteger los reportes que recibe

HackerOne aprendió que la responsabilidad no termina cuando llega un reporte válido. En 2022, HackerOne dijo que un empleado robó reportes de vulnerabilidades de su plataforma y los reveló a siete empresas a cambio de recompensas económicas. Durante la brecha de Uber ese año, una fuente dijo que un atacante accedió al programa de HackerOne de Uber y descargó reportes de vulnerabilidades antes de perder el acceso. Los reportes pueden contener información suficientemente valiosa como para requerir controles sobre el repositorio, su personal y sus clientes, no solo sobre quienes los envían.

Una prueba automatizada autorizada necesita varios registros que un envío convencional a un programa de recompensas puede dejar implícitos: el principal que aprobó la prueba, el agente o investigador que la realizó, el objetivo y la duración permitidos, las acciones tomadas, la evidencia que respalda el hallazgo y la ruta por la que el receptor lo recibió. Esos registros cumplen propósitos distintos. Un rastro de reproducción ayuda a un mantenedor a juzgar si existe una falla; una concesión de alcance ayuda al propietario del sitio a juzgar si el evaluador tenía permitido revisar; un registro de acceso ayuda a la plataforma a determinar quién manejó el reporte resultante.

HackerOne y Bugcrowd tienen experiencia mediando la investigación y la divulgación, mientras que los proveedores de navegadores controlan una mayor parte de la ruta de ejecución y los propietarios de sitios controlan el permiso para usar sus servicios. Ningún reporte disponible establece que alguna de las dos plataformas de recompensas ya venda un producto estandarizado de autorización o procedencia de agentes. La cadena de custodia es un requisito de diseño revelado por estos incidentes, no una transición de mercado ya completada.

El puerto seguro debe vincularse a la delegación, no solo al investigador

La orientación federal de Estados Unidos ofrece un patrón institucional limitado: las agencias deben designar a un líder sénior que supervise sus sistemas de IA y presentar informes anuales sobre IA. Ese requisito da a la responsabilidad de despliegue una instancia institucional, aunque no especifica cómo debe un agente de navegador demostrar permiso para una acción individual. Ni un ejecutivo identificado ni el registro técnico de un agente resuelven todas las cuestiones de responsabilidad, pero cada uno hace que la atribución de responsabilidades dependa menos de que la máquina se explique a posteriori.

Los operadores de programas pueden restringir las invitaciones, revocar el acceso y exigir evidencia sin tratar a un investigador de buena fe y a un agente sin responsabilidad como la misma amenaza. Los propietarios de sitios aún tienen que definir qué permiten; los proveedores de agentes aún tienen que preservar lo que hizo su software; los intermediarios de recompensas aún tienen que proteger los reportes que reciben. Curl pudo anunciar el fin de su canal de recompensas. El botón de envío del navegador no tiene un campo para la persona que autorizó a la máquina a presionarlo.