私も狩り方にAIを組み込むことを始めて、Antaresという私の個人用AIハックボットを開発することになった。

私の理解では、バグバウンティの報酬は「国家レベルのアクターがこれを運用目的で利用できるか、捕まらずに済むか」の大まかな指標だと思う。現在のOSや過去のOSに影響を与えるゼロクリックのiPhoneエクスプロイトは、数十万ドルの価値がある。

マイクロソフトのバウンティプログラムと報酬は、ほんとにひどいって知られてるよね。あの悪夢のような状況を見ればわかる。

$5,000なんて、マイクロソフトにとってはほんの小銭だよ。その子に$100,000あげるべきだよ。

HNは、この業界の多くの人と同じように、これらのバグの実際の重要性について強い偏見を持ってると思う。バウンティの価格を見れば、ほとんどが何でもないこととして扱われてる証拠だよね。つまり、5000ドルをランダムな人に支払う代わりに、次の日にトリリオンドルのハックをリスクにさらすことはないんだ。結局は、ちょっとした騒ぎが起こるかもしれないけど、通常のトリアージプロセスで修正すればいいだけ。バウンティプログラムはセキュリティだけじゃなくてマーケティングでもあって、5000ドルは「私たちはセキュリティを真剣に考えてます」ってメッセージを維持するための妥当な価格だと思う。大企業のバグバウンティプログラムの存在自体が、脆弱性を真剣に扱う理由がないってことの証拠だよね。もしセキュリティの脆弱性が、オンラインのコメント欄で言われてるほど深刻なら、企業は深刻な脆弱性に対して数十万ドルを支払ってでも、被害に遭う前に対策を講じるはずだよ。攻撃者に先手を打つために何百万も使うのにね。でも、実際にはそうじゃない。ほとんどのエクスプロイトは重要じゃないし、あまり利用されてないから。

もっとひどいのは、代わりにアーロン・スワーツみたいになることだよね…（彼がやったのは、主に公的資金で作られた論文のPDFをスクレイピングしただけなのに）それよりも、法的に追われるよりは、スタバのために20ドルもらえる方がいいと思う。セキュリティ研究者を守る法律が本当に必要だよ。何の害も与えず、サービスプロバイダーに脆弱性を伝えたり共有したりする人たちをね。お金ももらえず、かつ刑務所に行ったり訴えられたりしない方がいいな。

セキュリティの脆弱性に関するHNの投稿には、必ず「報酬が低すぎる」ってコメントがつくよね。tptacekのバグバウンティや市場価値についての過去のコメントを読むのが役立つと思うよ。これが一番いいまとめかもね: https://news.ycombinator.com/item?id=43025038

若い研究者はティーンエイジャーだよ。自分の名前を広めたり、影響力や名声を得ることが彼らにとっては100万ドルの価値がある。ほとんどの人が自分のティーンエイジャー時代を忘れてしまったみたいだね。それが見えるよ。年代や世代に関係なく、親や祖父母と一緒に住んでいるティーンエイジャーは、常に無形のものを優先する。たった5バンドで完全な編集権を得るのは、M$にとってはほんの少しの金額に過ぎない。残念ながら、またしても無償労働を利用するケースだね。

間違った人たちが怒ったら、刑務所行きかもね。