脆弱性管理を取り巻く状況が激変する中で起きた最も象徴的な出来事が、Intelが突如有償バグ報奨金プログラムを一時停止させたことだ。

　「当社の製品セキュリティの取り組みを強化する方法を検討するため、同プログラムを当面一時停止する。既存の報奨金の支払いや脆弱性開示プログラムを通じた報告の受け付けは続ける」とIntelは説明する。

　AIツールを使用して脆弱性を発見する行為がまん延したことがこの決定のきっかけになったのか、という質問に対して、Intelは回答しなかった。ただしバグ報奨金サービスHackerOneのCEOを務めるカラ・スプレイグ氏は、企業向けバグ報奨金プログラム全体で報告数が急増していることを認めた。「一見もっともらしいが、実際にテストされていない、あるいは範囲外の報告が増加した。数分でそうしたレポートを作成できるようになったためだ」と同氏は語る。

　検証作業には事象の再現、影響の確認、修正の要否の判断といった、従来と同様のプロセスが必要だ。この負荷がバグ報奨金プログラムの制約になっている。Googleの脅威分析部門であるGoogle Threat Intelligence Group（GTIG）が2026年9月に発表した調査レポートは、同年1～8月で公式に公開・採番されたCVE脆弱性の総数を集計・分析したものだ。これによると、月間の脆弱性開示件数は1月から7月にかけて倍増した。1月の5045件から7月には1万477件へと跳ね上がり、8月には1万740件に達した。

社内監査への移行

　報告の激増は、個々の報告を審査しなければならないアナリストや研究者から貴重な時間を奪う。その結果、セキュリティ業界の関心は「提出物が一定の品質基準を確実に満たすようにすること」や「実質的な脆弱性を特定していない無効な報告の精査に費やす時間をいかに削減するか」へと大きく移りつつある。

　curlのバグ報奨金プログラムが打ち切りに追い込まれた経緯について、ステンバーグ氏は「ChatGPT」のような生成AIの普及と、報告キューにおける有効な報告の割合（シグナル・ノイズ比）の急落の間に、明確な相関関係があると指摘する。「バグ報奨金プログラムの衰退は2024年後半から徐々に始まり、2025年に一気に加速した」と同氏は振り返る。

　Intelはバグ報奨金プログラムを完全に廃止したわけではなく、一時停止しただけだと説明する。脆弱性開示のコンサルティング企業Luta SecurityのCEOであるケイティー・ムッスリス氏は、2つの要因が補完し合ってIntelを報奨金の支払い停止へと導いたのではないかと推測する。1つ目はAIツールが生成した低品質な報告の氾濫。2つ目はIntelのチームがAIツールを活用して社内でより効率的に脆弱性を発見できるようになったことだ。

　著名な組織によるバグ報奨金プログラムの一時停止は、クラウドソーシング（不特定多数の作業者）に依存する運用モデルの持続可能性に対して、根本的な疑問を投げかけるものだ。しかし専門家は、この混乱をバグ報奨金制度の消滅ではなく、企業のセキュリティ予算再配分の動きだと捉える。

　ムッスリス氏は、バグ報奨金が以前の価格水準に戻ることはないと考える。脆弱性の開示は引き続き歓迎されるものの、AIツールが社内テストやパッチ作成をいかに迅速に自動化できるかに企業の主眼が移行したと同氏は指摘する。

　「安全なソフトウェア設計や社内でのAI活用による脆弱性の発見・修正には、これまで外部テストに充てていた以上の予算と時間が必要だ。今後の侵入テストはAIツールによる疑似攻撃をますますテストするようになる一方、バグ報奨金プログラムは重複報告や誤報を管理する負担が重く、価値が低下する可能性がある」（ムッスリス氏）

岐路に立つセキュリティ業界

　スプレイグ氏は、ルールを変更するバグ報奨金プログラムが増加し、場合によっては金銭的報酬の一時停止に踏み切る組織も出てくるとみる。「プログラム運営者は、どの報告がエンジニアリングチームのリソースを割くに値するかを判断しなければいけなくなる」と同氏は語る。

　その一方で、多くの有効な発見も寄せられている。スプレイグ氏は「プログラムを停止すれば脆弱性の量は減るが、重大な問題を突き止めてくれる有能な研究者の貢献まで手放すことを意味する」と懸念する。

　スプレイグ氏は、金銭的報酬の停止は極めて難しい決断だと強調する。報酬を取りやめても未検証の低品質な報告が減るとは限らない一方で、高度で複雑な欠陥を発見できる、卓越したスキルを持った研究者との接点を失ってしまう恐れがあるためだ。「もし課題が報告の選別にのみあるのなら、選別・トリアージの技術そのものを進化させるべきだ。まじめに取り組む研究者の声には、耳を傾ける価値が十分にある」

　Intelのバグ報奨金停止がもたらす影響は、報酬を求める研究者から、報告を受け取って脆弱性を検証してパッチを開発する組織まで、セキュリティ業界全体に波及する。

　大手IT企業が一部のバグ報奨金プログラムを縮小する中、焦点は他社もこれに追随するのかどうかという点に移っている。AI技術によって潜在的な脆弱性の発見が容易になる一方で、その真偽を人間が検証することはいまだ極めて大きな技術的・人的課題だ。この新たな現実に、セキュリティ業界がどのように適応するのかが問われている。