最近、バグ報奨金制度が大きな話題となっています。
注目度の高いプログラムが終了したり、根本的に変更されたりしているのが現状です。IBB（オープンソースプログラムにとって最も重要なプログラムの一つ）は投稿の受付を一時停止し、curlは報奨金の支給を停止し、Node.jsは報奨金制度そのものを廃止しています。これは単なる「ノイズ」ではなく、「シグナル」なのです。
バグ報奨金制度が実際にどのような方向に向かっているのかを理解したかったので、この議論において対立する立場にある、最も信頼できる2人の専門家と対談しました：
- ダニエル・ステンバーグcurlの開発者であるダニエル・ステンバーグは、現在メンテナーとしての現実を直に体験しており、最近バグ報奨金の支払いを停止した
- ケイシー・エリスこのモデルの確立に貢献した人物の一人である、Bugcrowdの創業者、ケイシー・エリス。
私が気づいたのは、バグ報奨金制度が岐路に立っており、今まさに大きな変革の真っ只中にあるということだ。
なぜバグ報奨金制度がこれほど効果的だったのか
このモデルが今後どのような方向に向かうのかについて触れる前に、ひとまず一歩引いて、なぜこのモデルが過去10年間でセキュリティ分野において最も効果的なアイデアの一つとなってきたのかを理解しておきましょう。
そのすべては、「攻撃者が手を出す前に、インターネットに自社のシステムを攻撃させてみる」という発想に端を発しています。そして、この手法は、企業が自力では到底実現できない規模でのテストを可能にしたため、成功を収めたのです。
ケイシーが言ったように：
「「9時から5時まで働く人間だけで、世界中の攻撃者たちを出し抜こうとするなら、それは計算違いだ。」
これこそがバグ報奨金プログラムの真髄です。社内の限られた人数に頼るのではなく、世界中に広がる多様なスキルセット、視点、動機を持つ人材を活用できるのです。彼らは、社内のチームでは到底思いつかないような方法でシステムへの攻撃を試みます。しかも、社内で専門家を雇用する際に必要となる多大なコストを負担する必要もありません。
だからこそ、それは現代のセキュリティ対策において不可欠なものとなったのです。
今、何が話題か
変化しているのはセキュリティへの需要ではなく、バグ報奨金制度の経済的仕組みなのです。
AIによってバランスが崩れてしまったが、それは良い方向ではない。バグの発見はかつてないほど安価になり、レポートの作成はさらに容易になり、報告の提出も事実上、何の障壁もなく行えるようになった。一方で、それらのレポートを検証し、実際に問題を修正するためのコストは、まったく変わっていない。
- バグの発見 → 低コスト
- レポート作成 → 費用が安い
- レポートの提出 → 基本的には無料
- それらを検証する → 依然としてコストがかかる
- 修理するには → 非常に高額
これは実際に現場で起きていることです。レポートの提出者には3つのタイプがあります。正当なレポートに対して新しいアプローチを採用している企業があります。これらは、複数のAIモデルの強みを組み合わせ、ガードレール、オーケストレーション、コンテキストを統合した多層的なAIアプローチを用いたレポートであり、例えば Aikidoが独自に開発したAIペネトレーションテスト機能のように、複数のAIモデルの強みを組み合わせた多層的なAIアプローチを採用しています。次に、AIをツールとして活用し、調査やレポート作成の質を高めている個人です。そして最後に、これらのAIモデルを利用してスキルを向上させ、技術的には妥当に見えるものの、実際には完全に誤ったレポートを作成できてしまう個人です。
ダニエルはそれを完璧に言い当てた。「説得力のあるデタラメは、あからさまなデタラメよりも厄介だ」
それを簡単に片付けることはできず、調査しなければならず、それがでたらめであることを証明するために貴重な時間を浪費することになる。
規模が大きくなると、これはもはや有益な外部貢献モデルとは感じられなくなり、むしろセキュリティ担当者を標的としたサービス拒否攻撃に近いものになってくる。
その影響は甚大である：
- インターネット・バグ報奨金プログラム（IBB）は、AIによって発見されるバグの数が急増し、管理者が対応しきれない水準に達したため、新規の報告受付を一時停止しました
- 資金提供が途絶えたことで、Node.jsの報奨金制度は廃止された。報告は依然として寄せられているが、報酬の支払いは行われなくなった
- curlは、AI生成のレポートが殺到したため、金銭的報酬を廃止した
これは以前からある問題ですが、さらに深刻化しています
ケイシーは、これは新しい問題ではなく、以前からあった問題であり、単にその進行が著しく加速しただけだと強調した。
「私たちは、以前よりも勢いよく、愚かなことをしている。」
バグ報奨金制度には、常に「公平な競争環境」という点で課題がありました。ある人が報告を提出し、別の人がそれを検証しなければならないという仕組みです。理論上は公平に聞こえますが、実際には、AIが登場する以前から、たった一人で検証作業をこなすのは困難でした。今では、それは事実上不可能なこととなっています。
今や、誰でも何十ものレポートを作成し、それを信頼できるように見せかけ、即座に提出できる時代になりました。しかし、受け取る側における制約は変わっていません。依然として、人間がレビューを行い、優先順位をつけ、判断を下しているのです。
オープンソースが真っ先にその影響を受ける
この圧力は、オープンソースの世界で真っ先に顕在化しています。その主な理由は、オープンソースの世界がすでに限界に近い状態で運営されていたからです。ほとんどのプロジェクトは、限られた時間とリソースしか持たない小規模なチーム（多くの場合、ボランティア）によって維持されていますが、それらがインターネットの膨大な部分を支えているのです。
金銭的なインセンティブや世界的な参加に加え、今ではAIによる投稿まで加わると、システムは処理しきれない状態になってしまう。
IBBプログラムは次のように明言した：
AIを活用した問題発見により、発見される問題と是正能力とのバランスが変化した
翻訳：
対応しきれないほど多くのバグが見つかってしまっています。
こうして報奨金はなくなったものの、報告への期待は依然として残っている。しかし、疑問が残る。金銭的なインセンティブがなくても、セキュリティチームを効果的に拡大し、セキュリティ態勢を強化するために活用されてきたバグ報奨金プログラムの手法は、依然として有効なのだろうか？
ケイシーは必ずしもそうは思っていない：e：
どの組織も脆弱性 プログラムを設けるべきです。なぜなら、インターネット上に存在している限り、誰かが問題点を見つけ出すからです。しかし、すべての組織が、一般向けに報奨金を設定したバウンティプログラムを実施できる立場にあるわけではありません。
彼の言葉を借りれば、curlにはそもそもそれが必要なかったはずだ：
「すべての組織が（報奨金プログラムを）実施すべきだとは思いません……そもそもcurlプログラムは報奨金プログラムにするべきではなかったのです。」
しかし、ダニエルの経験からは、もう少し複雑な実態が浮かび上がってくる。ダニエルは、この報奨金プログラムがコードに対する真摯な検証を促したという点で、これを成功と見なしている。
「私はこれを成功だとずっと考えてきました。というのも、これは人々にコードをじっくりと検証するよう促す素晴らしい方法だからです……」
金銭的なインセンティブを取り除くとどうなるか
金銭的なインセンティブを取り除けば、AIの粗悪なコードはなくなるだろうと思われがちだが、その一方で、真の脆弱性が公表される可能性も低くなってしまう。
しかし、curlが金銭的なインセンティブを撤廃すると、興味深いことが起こった。AIによって生成された質の低いノイズ が、ノイズ 消え去ったのだ。
ダニエルは次のように述べた。「AIによる質の低いセキュリティレポートは届かなくなった……その代わり、非常に質の高いセキュリティレポートがますます増えてきている……これまでにない頻度で提出され、私たちに多大な負荷をかけている。」
メンテナンス担当者は、質の低いレポートに埋もれる代わりに、今ではAIを活用した調査によって得られた、真に有用な発見を大量に処理するようになっています。参入障壁は、質の低いレポートだけでなく、質の高いレポートについても低下しています。
それによって、新たなプレッシャーが生じる。
質の高いレポートであっても、その内容を理解し、検証し、修正するには時間がかかります。また、こうした「有益な」発見の多くは依然としてグレーゾーンに属しており、セキュリティ基準には達していないものの、対応が必要なバグである場合もあります。その結果、すでにリソースが限られているチームには、継続的な、ある意味では増大した負担がかかってしまうのです。
つまり、奇妙なことに、このシステムは解消されたわけではなく、洗練されてきたのです。
システムを打破して改善する
そして、ここからが興味深いところです。というのも、短期的には明らかに辛いことではありますが、実際には正しい方向への一歩となるかもしれないからです。
金銭的なインセンティブを取り除くことで、ノイズの大部分を取り除くことができます。残るのは、平均的に見て質が高く、より意図的なものであり、実際のセキュリティ成果とより密接に結びついたシグナルです。
同時に、AIは研究者が有意義な研究を行うためのハードルを下げています。これにより、これまで以上に多くの人々が、かつてない速さで真の問題を発見できるようになっています。ノイズが減り、有益な情報がより多く得られる一方で、情報量は依然として膨大であるというこの状況は、私たちが過渡期にあることを示唆しています。
現在のモデルは、その重圧に耐えきれずに崩れつつある。しかし、その下から浮かび上がってきているものは、より良いものかもしれない。
次のようなシステム：
- 情報開示は求められるものであり、奨励されるものではない
- 報酬はより的を絞ったものであり、広範囲にわたるものではない
- そして、焦点は「報告の量」から「成果の質」へと移っていく
まだその段階には至っていません。今は、古いモデルがもはや通用せず、新しいモデルもまだ完全に形になっていない、混沌とした過渡期にあります。
しかし、これがうまくいけば、バグ報奨金の総額が減少することはない。
その結果、 という、より持続可能なバージョンが完成しました。
ハッカーは消えることはない
この件に関して最も大きな誤解の一つは、バグ報奨金制度が苦境に陥れば、ハッカーたちもそれに伴って消えてしまうという考えだ。
そんなこと、絶対にあり得ない。
ハッカーは立ち止まることなく、常に動き続けます。彼らは機会や複雑さ、そして理解の隙間を狙って行動します。ある分野が飽和状態になると、APIやサプライチェーン、そして最近ではますますAIシステムや複雑なロジックの欠陥へと、次々と標的を移していくのです。
ケイシーが指摘したように、たとえ今日直面している問題を解決したとしても、攻撃者がすぐに手を引いて去っていくことはないだろう。常に新しい技術、新しいシステム、そしてエクスプロイト新たなミスが存在するからだ。
人間がソフトウェアを作り続ける限り、脆弱性は存在し続けるだろう。
つまり、人々がそれらを見つけようとする必要性は、依然として消えることはない。
しかし、バグ報奨金ハンターたちはこの仕事から離れつつある。その理由の一つは、疲れ果てたトリアージャーたちとのやり取りに苛立ちを感じていること、もう一つは金銭的なインセンティブが失われつつあることにある。彼らは代わりに、コンサルタントや社内研究職へと転身している。
次に何が起こるのか
バグ報奨金制度はここから消えるわけではありませんが、進化を遂げています。
今後、業界全体において、脆弱性 単なる任意の措置やインセンティブの対象ではなく、当然の前提となるモデルへと移行していく可能性が高い。公開バウンティプログラムがなくなるわけではないが、より管理され、より的を絞ったものとなり、組織の成熟度とより密接に連動するようになるだろう。
同時に、増加し続ける報告の選別や優先順位付けにおいて、AIがより大きな役割を果たすようになるのは避けられない。AIだけで問題が完全に解決するわけではないが、問題管理の一環として定着していくだろう。
また、実際に評価される対象にも変化が見られるでしょう。自動化システムが低レベルの問題を発見する能力を高めるにつれ、そうした発見の価値は低下していきます。その代わりに、インセンティブはより大きな影響力を持つ業務、つまり創造性や状況判断、そしてシステムに対する深い理解が求められる業務へとシフトしていくでしょう。
つまり、研究者たちは今後ますます、脆弱性の連鎖やビジネスロジックの悪用、そして自動化がまだ十分に対応できていない複雑あるいは新興の技術の突破といった分野に注力していくことになるでしょう。
つまり、基準は引き上げられている。研究者が去ることはないが、それに見合った報酬も同様に拡大する必要がある。
