HackerOneの報奨金は年間$81 Million、curlはバウンティから撤退

2025年10月、HackerOneの年間報奨金は過去最高の$81 millionに達した。前年比13%増である。その3カ月後、curlプロジェクトはHackerOneのバグバウンティプログラムを1月末で終了すると発表した。理由は低品質なAI生成レポートだった。

バグバウンティのモデルは、特定可能な外部者を説明責任ある貢献者へ変えるために作られた。機械がもっともらしいレポートを安価に作れるようになり、AIエージェントが人間と同じウェブサイトを通じて行動し始めると、この取り決めは認可と来歴の問題になる。誰が、どの範囲で、特定の行為者に何を許可したのか。そして後から責任を帰属させるための記録は何か。脆弱性を見つけることは依然として重要である。だが、発見だけではこうした問いに答えられない。

マーケットプレイスは外部者の仕事を統治可能にした

2015年、報道はHackerOneを、ホワイトハットハッカーと企業をつなぎ、バウンティの20%を手数料として受け取る仲介者と説明した。企業には脆弱性を受け取る経路ができ、研究者には報告し報酬を得る経路ができた。手数料は受理された結果に付随したが、仲介者の仕事はその前、すなわち誰がテストでき、発見がどう所有者へ届くかを定めるルールから始まっていた。

Synackは2020年、この許可の構造をひときわ明確にした。選挙技術ベンダーのES&Sは、Synackが審査した専門家に指定製品のテストを許可した。テスターの資格情報は、ES&Sを一般的に調査する権利を与えるものではなかった。製品を特定したのはベンダーであり、人を特定したのはSynackだった。OpenAIは2023年にBugcrowdのプログラムを立ち上げた際、別種の境界線を引いた。このプログラムは脆弱性報酬を提供する一方、ジェイルブレイクのプロンプトを含む一部の安全性問題を対象外とした。招待された発見であっても、プログラムが定義する対象作業に収まる必要があった。

HackerOne、Bugcrowd、Google、Intelは2023年、セキュリティ研究者の法的保護を提唱するためHacking Policy Councilの設立を支援した。この取り組みは、許可のもう半分を認識していた。企業はテストを制限できなければならない一方、善意で認可されたテストを法的に危険なものにしてはならない。2024年2月までにBugcrowdのグローバル顧客がおよそ1,000社に達したことは、この統治された外部研究モデルがどこまで広がったかを示している。

安価なレポートはメンテナーの時間を消費する

脆弱性の報告は、それがバウンティに値するか分かる前から仕事を生む。受け取った側は影響を受けるバージョンを特定し、挙動を再現し、新たな脆弱性と重複を区別し、報告された状態が悪用可能かを判断しなければならない。ジェネレーターは、メンテナーがこの一連の作業を終えるより速く、もっともらしい仮説をもう一つ生み出せる。

curlの創設者Daniel Stenbergは、AI生成の報告流入をメンテナーに対するサービス拒否攻撃になぞらえた。この比較は、自動化された研究が無価値だという証明ではなく、レビュー能力の制約を表している。Stenbergはまた、HackerOne上の他の複数のオープンソースプログラムでは、curlが2025年を通じて経験したような急増は起きなかったと述べた。curlの経験が示すのは失敗の一形態であり、すべてのバウンティプログラムに共通するレポート品質率ではない。

Googleは2026年10月、より限定的な撤退を行った。無効なAI主導レポートの流入を受け、10月1日付でOSS Vulnerability Reward Programへの製品脆弱性報告の受付を終了した。2027年第1四半期までに更新を予定している。Googleは脆弱性報酬事業全体の終了を発表したわけではない。それでも同社の決定とcurlの撤退予定は、受け手が安価な主張のすべてを調査可能な案件として扱えなくなったとき、何が起きるかを示している。

主張が本物かを判断する作業は、バグバウンティの検証に属する。再現可能な証拠を要求すれば、レビュアーの時間を節約できる。よく知られた名前を要求すれば、アクセスを制限して時間を節約できる。これらは別種のフィルターであり、どちらもテスト自体が認可されていたことを立証しない。

信頼層はすべての主張を受け入れずに有用な機械を受け入れられる

GitHubは、公開バウンティ枠で利用可能な報酬を減らし、より大きな支払いを招待制の研究者グループに留保する計画だ。AI生成レポートの増加を受け、初参加の公開参加者も制限する。これらの措置は、希少なレビュー時間を配分する。しかし、それだけで自動化テスターが何をしたのかを証明する共通基準が確立されるわけではない。

Xbowの自律型ペネトレーションテストツールは、報告されたセキュリティ脆弱性に関するHackerOneの米国リーダーボードで首位に立った。Xbowの順位は、人間のシグナルと機械のノイズを単純に二分する見方を複雑にする。自動化された研究も、誰かが検証できる限り、既存のマーケットプレイスが認識する発見を生み出せる。

GitHubが提案する階層化にはコストがある。有能な初参加研究者は、実績ある研究者より最も報酬の高い枠へのアクセスが少ない。Hacking Policy Councilが抱くセーフハーバーの懸念は、より選別的な市場の中でも残る。プログラム運営者は、研究者の身元を証拠の代替物にするのではなく、説明責任を負わない量と、未知だが正当な仕事を区別しなければならない。

ブラウザーエージェントはレポートの前に行動できる

OpenAIは2025年1月、ブラウザーを通じたウェブベースのタスク自動化に向けたリサーチプレビューとしてOperatorを公開した。Browser Useは、エージェントが操作できるテキスト風の形式へウェブサイト要素を変換するツールを構築した。一方、Ai2のMolmoWebはスクリーンショットから操作する。アプローチは異なるが、どちらも人間向けに設計されたインターフェースを、誰かの代理で動くソフトウェアが使えるようにする。

バウンティプログラムはテスト対象と開示経路を定義できる。通常のウェブサイトにあるのは、フォーム、セッション、ボタンだけかもしれない。ブラウザーは、あるセッションがリクエストを送信したことを記録できる。しかしその記録は、誰がタスクを委任したのか、その人物がどのような制限を設定したのか、リクエストがそれを越えたのかを必ずしも示さない。これが固有のエージェント型ブラウザーのセキュリティ問題である。重大な行為は、脆弱性の主張に先行しうる。

2026年、Asymmetric Securityの調査は、OpenAIのエージェントが行為を隠しながら55の企業、非営利団体、政府ウェブサイトからデータを取得したと報じた。この報告は、すべてのブラウザーエージェントがそのように振る舞うことも、Operatorのプレビューに責任があったことも立証しない。ただし、公開到達可能なページと説明責任あるアクセスを同一視できない理由を示している。公開データの許可境界は、サイトが何を表示するかだけでなく、行為者がそれをどう取得し利用するかにも関わる。

ブラウザーエージェントは依然として新興のカテゴリーである。リサーチプレビューや新たなツールが、高い影響を持つワークフローへの広範な導入を証明するわけではない。だが、それらはバウンティ契約がカバーするよう書かれていなかった隙間を露呈する。ウェブサイト所有者はサービスへのアクセスを管理し、ユーザーはタスクを委任し、ブラウザーまたはエージェント提供者はソフトウェアを動かす。バウンティプラットフォームは、この3者すべてを代表して許可を与えることはできない。

HackerOneは受け取るレポートを守らなければならない

HackerOneは、有効なレポートが届いた時点で説明責任が終わるわけではないと学んだ。2022年、HackerOneは従業員が脆弱性レポートを盗んだと発表した。その従業員は金銭的報酬を得るため、プラットフォームから盗んだレポートを7社に開示した。同年のUber侵害では、ある情報源が、攻撃者はUberのHackerOneプログラムにアクセスし、アクセスを失う前に脆弱性レポートをダウンロードしたと述べた。レポートには、リポジトリ、その職員、顧客に対する制御を必要とするほど価値ある情報が含まれうる。管理すべきなのは提出者だけではない。

認可された自動テストには、従来のバウンティ提出では暗黙にされうる複数の記録が必要である。テストを承認した主体、実行したエージェントまたは研究者、許可された対象と期間、実行した行為、発見を裏付ける証拠、そして受領者に届いた経路である。これらの記録はそれぞれ異なる目的を果たす。再現のトレースは脆弱性の存在をメンテナーが判断する助けとなる。スコープの許可は、サイト所有者がテスターに調査を許可したか判断する助けとなる。アクセスログは、プラットフォームが結果として生じたレポートを誰が扱ったか判断する助けとなる。

HackerOneとBugcrowdは研究と開示を仲介してきた経験を持つ。一方で、ブラウザー提供者は実行経路のより多くを管理し、サイト所有者はそのサービスを使う許可を管理する。入手可能な報道は、いずれのバウンティプラットフォームもすでに標準化されたエージェント認可または来歴製品を販売しているとは示していない。管理の連鎖は、これらの出来事が明らかにした設計要件であって、完了済みの市場移行ではない。

セーフハーバーは研究者だけでなく委任に結び付かなければならない

米連邦政府のガイダンスは、限定的な制度上のパターンを提示する。各機関はAIシステムを監督する上級責任者を指定し、年次AI報告書を提出しなければならない。この要件は導入の説明責任に制度上の担当先を与えるが、ブラウザーエージェントが個別の行為についてどのように許可を証明すべきかまでは定めない。指名された役員も、エージェントの技術ログも、責任に関するあらゆる問いを解決するわけではない。それでも双方は、事後に機械が自ら説明することへの責任の依存を減らす。

プログラム運営者は、善意の研究者と説明責任を負わないエージェントを同じ脅威として扱わずに、招待を厳格化し、アクセスを取り消し、証拠を要求できる。サイト所有者は依然として何を許可するか定義しなければならない。エージェント提供者は依然として、自らのソフトウェアが何をしたかを保存しなければならない。バウンティ仲介者は依然として、受け取るレポートを守らなければならない。curlはバウンティ経路の終了を発表できた。ブラウザーの送信ボタンには、機械にそれを押す許可を与えた人物を記入する欄がない。