Intel、最大10万ドルのバグ報奨金制度を停止。無報酬の届出窓口に移行

Intelが、1件あたり最大10万ドルを支払っていたバグバウンティプログラムを停止したとみられる。代替として用意されたIntigriti上のプログラムには報奨金がなく、理由も示されていない。Intigritiのサイトには当該プログラムが「報奨金のない責任ある開示プログラム」だと記され、バウンティボード自体は残っているものの停止中と表示されている。一方でIntelのサイトには、報告の質などに応じて500ドルから10万ドルを支払うという従来の説明が残ったままだ。

このプログラムは2017年に招待制で始まり、2018年に全研究者へ開放された。対象はソフトウェア、ハードウェア、ファームウェア、オープンソースプロジェクトに及ぶ。Intel自身の説明では、2020年に同社が対処したCVEのうち231件中105件がこのプログラム経由だった。報奨金は4段階で、Tier 1が2000〜10万ドル、Tier 2が1000〜3万ドル、Tier 3が500〜1万ドル、Tier 4が250〜5000ドル。2025年半ばから10月にかけてWebサービスへ対象を広げ、1月6日のIntigriti上の更新では「強化された報奨金とボーナスの基準」を検討中としていた。検討から停止まで、およそ8カ月である。

停止の一因としてAIによる脆弱性報告の氾濫が指摘されている。Linuxカーネルなどのオープンソースプロジェクトは、AIが生成した報告に押し寄せられている状態だ。Linuxカーネルのcve数はリリースあたり約500件から2000件近くへと4倍に増え、メンテナーは手が回らなくなっている。カーネルの作者であるLinus Torvalds氏は、重複したAI報告について「ほぼ完全に管理不能」と述べた。curlはAIによる低品質な報告の流入を理由に報奨金制度を閉じている。HackerOneが運営するInternet Bug Bounty(IBB)も3月27日付で提出受付を停止し、「AI支援の研究が脆弱性発見をエコシステム全体に広げ、カバー範囲と速度の両方を高めている」と説明した。待機中の提出分については、深刻度に応じて68ドルから2257ドルの支払いを続けている。

ただし、この構図がハードウェアやファームウェアにそのまま当てはまるかは自明ではない。AMDのIntigritiページも現在は停止中と表示されているが、Intigritiには自動停止の仕組みがあるため判断材料としては弱い。また、AIツールが成果を出している例もある。OpenAIは、Anthropicのモデルを使って発見されたエクスプロイトチェーンに対し、Hacktronの研究者へ6500ドルの報奨金を支払っている。Intelのプログラムでも脆弱性の提出自体は継続して可能で、報奨金が付かないだけだ。停止が恒久的なものになるかは今後の動きを見る必要がある。