OWN NEWS GATHER
← 戻る
The Hacker News

GitHub、バグ報奨金を大幅削減へ　AIレポート急増を背景に「VIP枠」へ移行

要点

  • GitHubは2026年7月27日より、公開バグバウンティプログラムの報奨金を全深刻度で50%以上削減する。

  • 従来の柔軟な金額幅から固定額へと移行し、最も深刻な「緊急」レベルの報酬は一律10,000ドルに引き下げる。

  • 実績のあるセキュリティ研究者を対象とした招待制の「VIP層」を新設し、高額な報奨金はそちらに集約する。

  • 背景には、AIの普及により低品質な脆弱性報告が急増し、検証作業の負担が増大しているセキュリティ業界の現状がある。

  • ソフトウェア開発プラットフォームを運営するGitHub（ギットハブ）は2026年7月22日、脆弱性（セキュリティ上の欠陥）の発見者に報奨金を支払う「バグバウンティプログラム」の報酬体系を大幅に改定すると発表した。同年7月27日から適用される新体制では、一般向けプログラムの支払額が従来の半分以下に削減される一方、実績のある研究者のみが参加できる常設の招待制「VIP層」が新設され、高額な報酬がそちらへ移行される。同社は、提出される報告の量よりも質を重視する姿勢を明確にしており、この改定によって確認作業の効率化と報告への迅速な対応を目指すとしている。

一般向け報奨金は最大59％の減額、固定額支給へ移行

改定後の一般向け公開プログラムでは、従来の「最低額から最高額まで」という柔軟な報酬範囲が廃止され、深刻度に応じた固定額の支払いに移行する。具体的には、最も深刻な「緊急（Critical）」が従来の2万〜3万ドル超から固定1万ドルへ削減される。また、「高（High）」は5,000ドル（従来1万〜2万ドル）、「中（Medium）」は2,000ドル（従来4,000〜1万ドル）、「低（Low）」は250ドル（従来617〜2,000ドル）となる。

この新基準は、従来の支払範囲の最低値と比較して、中・高・緊急のレベルで50%の減額、低レベルでは約59%の減額にあたる。なお、2026年7月27日より前に提出された報告については、すでにトリアージ（報告された脆弱性の優先度や有効性を検証・分類する作業）の待ち行列に入っているものも含め、従来の条件が適用される。

GitHubは、支払額を固定化することで報奨金決定に関する不確実性を排除し、検証に関わる事務負担を軽減できると説明している。ただし、特に優れた調査結果に対しては、例外的に追加のボーナスを支給する可能性も残されている。

実績者だけを優遇する「VIPプログラム」を新設

一般向けの支払額が減額される一方で、GitHubは常設の招待制「VIP層」を新設する。このVIPプログラムでは、深刻度「緊急」の報告に対して3万ドル以上、「高」には2万ドル、「中」には7,500ドル、「低」には1,000ドルが支払われる。

VIPプログラムに参加するためには、過去にGitHubに対して「緊急」を少なくとも1件、「高」を2件、「中」を4件、または「低」を7件報告している必要がある。ただし、この基準を満たすための期限や、基準達成によって必ず招待が保証されるかどうかについて、GitHubは言及していない。また、バグバウンティ仲介サイトの「HackerOne」が提供する信頼性指標「Signal（シグナル）」の基準値を下回る研究者は、初期の報告件数が最大4件までに制限される措置も導入される。

背景にあるAIの普及と検証コストの肥大化

GitHubがこのような制限と減額に踏み切った背景には、AI（人工知能）ツールの普及によって、脆弱性の候補を自動生成するコストが低下したことがある。これにより、低品質な脆弱性報告（ノイズ）が急増し、開発側がそれらを確認する負担が肥大化している。

実際、データ転送ツール「curl」のプロジェクトでは、AIが生成したジャンクレポートの急増によって有効な脆弱性の割合が5%未満に落ち込んだため、2026年1月末に現金による報奨金制度を終了した。その後、現金報酬を廃止して再びHackerOneに受付窓口を移行した4月までに、報告件数は2025年の約2倍に達したものの、確認された脆弱性の割合は15〜16%へと向上したという。

内部検証の自動化と人間テスターに求められる役割

一方で、開発企業自身がAIを使って自社コードのセキュリティチェックを自動で行う環境も進化している。GoogleはGitHubの発表前日、脆弱性の発見や修正パッチの自動生成に特化した軽量AIモデル「Gemini 3.5 Flash Cyber」を発表した。同モデルは、政府や特定のパートナー向けに、コードのセキュリティ対策を自律的に行う支援エージェント「CodeMender（コードメンダー）」の機能として、限定的な試行運用から開始されるという。

このように、ソースコードの解析や一次的な検証作業がAIで自動化される中、人間テスターの価値は、複数の脆弱性を組み合わせて深刻な攻撃ルートを実証するような、より高度なロジックエラーの発見へとシフトしつつある。

元URL