バグバウンティ（Bug Bounty）

「見つけたら報酬」という発想

バグバウンティは、外部のセキュリティ研究者（ホワイトハッカー）に自社の製品やサービスの脆弱性を探してもらい、有効な報告に対して報奨金を支払う制度だ。社内のセキュリティチームやペネトレーションテストだけではカバーしきれない攻撃面を、世界中の多様なスキルセットを持つ研究者の「目」で補完するという考え方に基づく。

Google、Microsoft、Apple といったテック大手は数十万ドル規模の報奨金を設定しており、クリティカルなゼロデイ脆弱性には 1 件あたり 20 万ドル以上が支払われた事例もある。HackerOne や Bugcrowd といったプラットフォームが仲介役を果たし、企業と研究者のマッチング、報告のトリアージ、報酬の支払いまでを効率化している。

闇市場との綱引き

バグバウンティの報酬設計には構造的なジレンマがある。ゼロデイ脆弱性の闇市場（エクスプロイトブローカー）では、国家機関やサイバー犯罪グループが数十万〜数百万ドルを提示することがある。バグバウンティの報酬がこれを下回れば、経済合理性だけで見ると研究者が闇市場に流れるインセンティブが生じる。

もちろん、多くの研究者は倫理的な動機やレピュテーション構築のためにバグバウンティを選ぶ。それでも「防御側の報酬 < 攻撃側の報酬」という非対称性は、業界全体の課題として認識されている。

Responsible Disclosure との関係

バグバウンティは Responsible Disclosure（責任ある脆弱性開示）を制度化したものとも言える。研究者は脆弱性を公開する前にまずベンダーに報告し、修正パッチがリリースされるまで詳細を非公開にする。Project Glasswing でも同じ原則が適用されており、Claude Mythos が発見した脆弱性は各プロジェクトへの報告とパッチ適用後に初めて詳細が開示される。

バグバウンティが「人間の研究者による分散型セキュリティテスト」だとすれば、Glasswing は「AI による集中型・常時セキュリティスキャン」に近い。両者は補完関係にあり、AI がスケーラブルな初期スキャンを担い、人間の研究者がビジネスロジックの複雑な脆弱性やソーシャルエンジニアリング面を深掘りするという分業が現実的な着地点になりつつある。

DevSecOps への統合

成熟した組織では、バグバウンティの報告を CVE 登録→SBOM 照合→パッチ配布という既存のDevSecOps パイプラインに統合している。報告された脆弱性が自社だけでなくサプライチェーン上の他組織にも影響するケースでは、SBOM を使った影響範囲の即時特定が不可欠になる。バグバウンティは単独の制度ではなく、脆弱性管理エコシステム全体の入口として機能するようになっている。