バグバウンティは死んでいないが、従来モデルは破綻しつつある

【なぜ重要か】 AIの普及によりバグバウンティプログラムの経済バランスが崩れ、IBB（Internet Bug Bounty）やcurl、Node.jsなどの主要プログラムが停止・変更を余儀なくされています。この変化は日本企業のセキュリティ戦略にも大きな影響を与える可能性があります。

【ポイント】

• AIによりバグ発見・レポート作成・提出コストは大幅に低下したが、検証・修正コストは変わらず、経済バランスが破綻
• IBBは提出停止、curlは報奨金廃止、Node.jsはバウンティ全体を撤廃するなど、主要プログラムが相次いで変更
• 報奨金を撤廃したcurlでは、AI生成の低品質レポートは減ったものの、AI支援による高品質レポートが急増し、別の負荷が発生
• オープンソースプロジェクトが最初に影響を受けており、少人数チームでは対応限界を超えている
• 従来の「報奨金ありきのバウンティ」から「報告窓口型のセキュリティ体制」への移行期にあり、新しいモデルの構築が必要

【まとめ】 バグバウンティモデルは過渡期にあり、企業は報奨金型から報告窓口型への戦略見直しと、AI時代に対応した新しいセキュリティアプローチの検討が急務です。