バグ報奨金プログラム（バグバウンティ）とは、企業や団体が自社のソフトウェアやWebサービスの脆弱性を外部のセキュリティ研究者に探してもらい、有効な報告に報奨金を払う仕組みです。社内の検査や外部に委託した診断では見つけきれない欠陥を、多くの第三者に探してもらうことを狙っています。
バグ報奨金プログラムとは：何ができるのか
運営する側は「対象範囲（スコープ）」「禁止する行為」「報告の書き方」「報奨金の基準」を公開し、それに沿って届いた報告を審査します。再現できる有効な脆弱性だと認めれば報奨金を払い、修正してから公開します。これが一般的な流れです。
この仕組みの特徴は成果報酬であることです。脆弱性診断の委託では作業に費用を払いますが、バグ報奨金では有効な発見にだけ払います。その代わり、無効な報告や重複した報告も含めて審査する手間は運営側が負います。
使い方：エンジニアが参加する場合
参加者は公開されたルールを読み、スコープ内の対象だけを調べます。対象外のシステムを攻撃したり、サービス停止を招く試験のようにルールで禁じられた手法を使ったりすると、報奨金が出ないだけでなく不正アクセスとみなされるおそれがあります。報告には再現手順と影響の説明を付けるのが基本です。
使い方と料金：企業が導入する場合
導入の方法は大きく2つあります。自社でルールを公開して窓口を運営する方法と、HackerOneやBugcrowdのような仲介プラットフォームを通して研究者を集める方法です。
料金は一律ではありません。報奨金の額は各プログラムが脆弱性の深刻度などに応じて決め、プラットフォームを使う場合はその利用料もかかります。具体的な金額は運営者やプラットフォームごとに違うため、この記事では数字を挙げません。予算を考えるときは、報奨金そのものに加えて、届いた報告を審査・再現・修正する社内の工数も見込む必要があります。
誰が運営しているのか：最近の動き
バグ報奨金プログラムは特定の会社の製品ではなく、仕組みの名前です。運営するのは脆弱性を見つけてほしい各企業で、Googleのような大手IT企業も自社のプログラムを持っています。事業として見るなら、HackerOneやBugcrowdのような仲介プラットフォームが主なプレーヤーです。
最近では、Googleがオープンソースソフトウェア（OSS）を対象としたバグ報奨金プログラムを凍結しました。TechCrunchは、理由がAIを使った報告の「著しい増加」だと報じました。Tom's Hardwareは、AIが作った低品質で無効な報告（いわゆる「AI slop」）が大量に届いたことが背景にあると報じています。凍結の範囲や期間、再開の条件は、現時点で分かっていません。
ここからは筆者の見方です。この件は成果報酬型の弱点を示しています。AIによって報告を出す手間が下がると、審査する側の負担が増えます。導入を考える企業は、届いた報告の質をどう見分けるかも最初から設計に入れておく必要があります。
