Bug bounty - это священная корова безопасности последних 15 лет. «Платим исследователям - они находят баги - все в плюсе». В мае 2026 года HackerOne поставил программу на паузу. Причина: ИИ нашёл слишком много уязвимостей, и экосистема не выдержала.
Что произошло: HackerOne объявил о приостановке выплат в рамках Internet Bug Bounty (IBB) program - программы, работавшей с 2012 года и выплатившей более $1.5 млн исследователям. Причина: взрывной рост AI-powered submissions, из-за которого баланс между discovery и remediation «существенно сдвинулся». Open-source maintainers физически не успевают закрывать то, что ИИ находит быстрее. Node.js стал первым пострадавшим - его исследователи больше не получают выплат.
Эта история - продолжение тренда: Google OSS VRP и проект Curl ранее также запретили AI-generated submissions. На ЦИПР-2026 в разгар дискуссий об ИИ хакеры атаковали сам форум с применением ИИ - в 2/3 сканирований зафиксированы следы ChatGPT.
Аналогия: Представьте, что нанимаете 10 детективов для поиска утечек. Отлично работало годами. Потом даёте ИИ задание - и он за ночь находит 10 000 потенциальных утечек. Ваш персонал не справляется. Детективы обижены, что их не ценят. Система ломается не потому, что стало хуже - а потому что стало слишком быстро.
Что делать
Пользователям (разработчикам): если вы ведёте open-source проект - готовьтесь к волне AI-репортов уязвимостей. Настройте политику принятия репортов с обязательной верификацией вручную, иначе потонете в шуме.
Бизнесу / CEO: bug bounty - не замена внутренней безопасности. Это дополнение. Если вы полагаетесь только на внешних исследователей - ваша программа уязвимости управления выглядит как «отдел безопасности за чужой счёт». Инвестируйте в SAST/DAST/ASPM внутри - ИИ уже доступен и вам тоже.
HackerOne обнажил системный парадокс эпохи ИИ: мы научились находить уязвимости быстрее, чем умеем их чинить. Bug bounty как модель придётся переизобретать - возможно, с акцентом не на количество находок, а на помощь в remediation. Через год я ожидаю появления «AI-remediation bounty» - платим не за нахождение бага, а за помощь в его автоматическом исправлении. Рынок уже ждёт этой модели.
Автор: Беляев Дмитрий
〰️〰️〰️
📝 Связаться с Дмитрием
〰️〰️〰️
↘️ [Все проекты]
🤔 [Стикеры]
📚 [Менторство]
💰 [Буст BS]
🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥
#BugBounty #HackerOne #AIсecurity #VulnerabilityManagement #cybersecurity