GitHubバグバウンティ報奨金が半減｜AI生成レポートの洪水が変えた制度の全容【2026年7月】
代表取締役 上坂大地郎
結論: GitHubが2026年7月27日からバグバウンティ（脆弱性報奨金）制度を大幅改定し、公開プログラムの報奨金を全重要度で半減以上にカットします。背景にあるのは、AI生成の低品質レポートがトリアージを圧迫している現実です。同時に、実績ある研究者向けのVIP招待制プログラムを新設し、報奨金を旧水準以上に引き上げました。「量より質」への明確な転換です。
この記事の要点:
- GitHubの公開バグバウンティ報奨金が7/27から半減以上。Critical は最大$30,000+だったものが$10,000固定に（GitHub公式ブログ、2026年7月22日発表）
- 背景はAI生成レポートの洪水。curlプロジェクトでは報奨金復活後に提出量が倍増し、確認率は15〜16%にとどまったとThe Hacker Newsが報じています
- VIP招待制を新設。Critical報告1件などの実績でVIPに昇格でき、Critical $30,000+の報奨金が得られる二層構造に
対象読者: SES現場で働くエンジニア、バグバウンティに参加している・参加を検討しているセキュリティ研究者、AI活用に関心のある開発者
読了後にできること: 新制度の仕組みと報奨金の変化を把握し、自分のバウンティ活動の方針を見直すための判断材料が持てます。また「AI生成レポート」が業界にどんな影響を与えているかの構造を理解できます
2026年7月22日、GitHubが公式ブログで「Next chapter: Restructuring GitHub's bug bounty program」を公開しました。7月27日から、公開プログラムの報奨金を全重要度で大幅に引き下げ、代わりに招待制のVIPプログラムを恒久的に設けるという内容です。
私自身、SESの会社を経営していて、日常的にGitHubを使っています。バグバウンティに直接参加しているわけではありませんが、GitHubのセキュリティ体制の変化は、常駐先で使うプラットフォームの信頼性に直結する話です。
この記事では、今回の制度改定の全体像を整理したうえで、なぜ「AI生成レポート」が引き金になったのか、エンジニアやセキュリティ研究者にとって何が変わるのかまで解説します。
何が起きたのか — 時系列で整理する
時期 | できごと |
|---|---|
2026年1月 | curlプロジェクトがAI生成レポートの品質問題を理由に現金報奨金を一時停止（The Hacker News報道） |
2026年3月 | curlプロジェクトがHackerOneに復帰し報奨金を再開（2月25日に移行を発表、3月1日発効） |
2026年4月 | curl への提出量が倍増。確認率は15〜16%にとどまる（The Hacker News報道） |
2026年7月22日 | GitHub公式ブログで制度改定を発表。Catherine Cassell（Product Security Engineer）名義 |
2026年7月27日 | 新制度が発効。公開プログラムの報奨金が新基準に移行 |
ポイントは、GitHub単独の動きではないということです。curlのような著名OSSプロジェクトも同じ問題に直面しており、「AI生成の低品質レポートがセキュリティチームのトリアージを圧迫する」という構造的な課題が業界全体に広がっています。
バグバウンティとは何か — 仕組みをかみ砕く
バグバウンティは、ソフトウェアの脆弱性を外部の研究者が発見・報告し、重要度に応じて報奨金を受け取る仕組みです。会社が社内だけでセキュリティを担保するのではなく、「世界中の目」を借りて穴を見つけるという発想です。
GitHubはHackerOneというバグバウンティプラットフォームを通じて公開プログラムを運営しています。誰でも参加でき、脆弱性を見つけて報告すれば報奨金がもらえる——というのが基本構造でした。
この仕組みが「AIで大量にレポートを生成して提出する」という使い方で揺さぶられています。
新旧の報奨金 — 具体的にいくら変わるか
公開プログラム（誰でも参加可能）
重要度 | 旧報奨金（範囲） | 新報奨金（固定） | 変化 |
|---|---|---|---|
Low | $617〜$2,000 | $250 | 最大87%減 |
Medium | $4,000〜$10,000 | $2,000 | 最大80%減 |
High | $10,000〜$20,000 | $5,000 | 最大75%減 |
Critical | $20,000〜$30,000+ | $10,000 | 最大67%減 |
（旧報奨金の範囲はThe Hacker Newsの報道に基づく。GitHub公式ブログでは旧金額の詳細は非公開）
VIPプログラム（招待制・新設）
重要度 | 報奨金 |
|---|---|
Low | $1,000 |
Medium | $7,500 |
High | $20,000 |
Critical | $30,000+ |
VIPへの昇格条件（いずれか1つを満たす）:
- Critical報告 1件
- High報告 2件
- Medium報告 4件
- Low報告 7件
報奨金が「レンジ」から「固定額」に変わったことも見逃せません。旧制度では交渉や裁量の余地がありましたが、新制度は一律です。GitHubのCatherine Cassell氏は「You don't earn more by submitting more. You earn more by submitting better.（たくさん出しても稼げない。良いものを出せば稼げる）」とコメントしています（GitHub公式ブログ）。
どこまで確認されているのか — 検証状況
確認済みの事実（一次情報で確認）:
- 新旧の報奨金額と発効日（GitHub公式ブログ、2026-07-22）
- VIPプログラムの昇格条件（同上）
- HackerOneの「signal requirement」導入。新規参加者は最初の4件の提出でシグナルを確立する必要がある（同上）
- 7/27以前に提出済みのレポートには旧基準が適用される（同上）
当事者の主張段階:
- 「AI生成レポートの洪水がトリアージを圧迫している」という背景説明はGitHub側の主張です。具体的な件数や割合は公式には開示されていません
二次報道ベースの参考情報:
- 旧報奨金の具体的なレンジ（$617〜$30,000+）はThe Hacker Newsの報道に基づきます。GitHub公式ブログには旧金額の記載がないため、正確な旧基準は公式に確認できていません
- curlプロジェクトの確認率データ（15〜16%）はThe Hacker Newsの報道によるものです
楽観論と慎重論 — 受け止め方は分かれている
GitHubの立場（楽観側）: 「reducing the noise so we can focus on the signal, and building a program that serious researchers find rewarding」（ノイズを減らしてシグナルに集中し、真剣な研究者にとってやりがいのあるプログラムにする）。VIPプログラムの報奨金はCritical $30,000+と旧水準を維持しており、「質の高い研究者はむしろ報われる」という設計意図があります。
慎重論（懸念側）: 公開プログラムの大幅な報奨金カットは、新規参入のハードルを上げます。VIPに昇格するためにはまず公開プログラムで実績を積む必要がありますが、その段階の報奨金が大きく下がっています。バグバウンティに挑戦してみたい駆け出しの研究者にとっては、参入の動機づけが弱くなる可能性があります。
また、「AIツールを使って効率的に脆弱性を発見する正当な研究者」と「AIで雑なレポートを量産する人」を制度設計だけで区別するのは難しいという指摘もあります。GitHubは今回の改定に先立つ2026年5月の投稿（Jarom Brown氏、Senior Product Security Engineer）で「The tools don't matter. The quality of the work does.（ツールは問題ではない。仕事の質が問題だ）」と述べていますが、公開プログラムの報奨金カットが事実上の参入障壁になれば、結果的に新しい人材の流入を細らせるリスクがあります。
デュスクとしての見立て: 「量より質」への転換自体は合理的です。ただ、GitHubほどの規模のプラットフォームが公開プログラムの報奨金を半減させたことのインパクトは大きく、他のバグバウンティプログラム運営者が追随する可能性があります。「AI生成レポートへの対応」は今後、バグバウンティ業界全体の共通課題になると見ています。
エンジニア・SES現場への示唆
ここからが本題です。SES現場で働くエンジニアにとって、この話は3つの角度で関係します。
1. GitHubのセキュリティ体制は改善方向に向かっている
バグバウンティ改定の目的は「質の高い報告に集中する」ことです。トリアージが低品質レポートで埋まれば、本当に危険な脆弱性の対応が遅れます。GitHubが制度を絞ることで、結果的にプラットフォーム全体のセキュリティ対応が速くなる可能性があります。常駐先でGitHubを使っている立場としては、プラスに働く変化です。
2. バグバウンティへの参加を考えているエンジニアは戦略の見直しが必要
副業やスキルアップとしてバグバウンティに参加しているエンジニアは、今回の変更を踏まえて方針を考え直す必要があります。公開プログラムでLow 1件見つけても$250。VIPに昇格するにはLow 7件が必要です。一方、Critical 1件でVIP昇格し、次からは$30,000+。「広く浅く」ではなく「狙いを絞って深く」攻める方が制度設計に合致しています。
3. 「AIでレポートを量産する」はもう通用しない
AIツールでセキュリティスキャンをかけて、出てきた結果をそのままレポートとして提出する——この手法が通用しなくなったことを、GitHubが制度レベルで示しました。HackerOneの signal requirement 導入も、低品質な提出を初期段階でフィルタリングする仕組みです。GitHubが5月の投稿で述べた「ツールは問題ではない。仕事の質が問題だ」という方針が、今回の報奨金構造に反映された形です。
今すぐ確認・検討すべきこと
- 今日確認すること: 自分や常駐先のチームがGitHubのバグバウンティに参加しているか確認する。参加中であれば、7/27前に提出予定のレポートがあるかチェックする（旧基準が適用されるのは7/27前の提出分まで）
- 今週中にやること: バグバウンティに参加中・参加検討中であれば、VIP昇格条件を確認し、今の実績がどの段階にあるか棚卸しする。まだ実績がなければ、GitHubに限らずどのプログラムに注力するか戦略を見直す
- 今月中に検討すること: 「AI生成レポートの品質問題」は他のバグバウンティプログラムにも波及する可能性がある。所属組織がバグバウンティプログラムを運営している場合、同様の対策が必要かを検討する
よくある質問
Q1. VIPプログラムには誰でも申請できますか？
いいえ。招待制です。GitHub公式ブログによれば、昇格条件（Critical 1件、High 2件、Medium 4件、Low 7件のいずれか）を満たした研究者が対象です。ただし、条件を満たせば自動的に招待されるのか、追加の審査があるのかは執筆時点で明確にされていません。
Q2. 7/27以前に提出したレポートはどうなりますか？
旧基準の報奨金が適用されます。GitHub公式ブログで「Reports submitted before July 27 honored under previous bounty structure」と明記されています。
Q3. AIツールを使ってバグを見つけること自体が禁止されましたか？
禁止されていません。GitHubは2026年5月の投稿で「The tools don't matter. The quality of the work does.」と明確に述べています。問題はAI出力をそのまま提出する低品質なレポートであり、AIを分析の補助に使うこと自体は否定されていません。
Q4. GitHub以外のバグバウンティにも影響しますか？
直接の影響はありません。ただし、curlプロジェクトなど他のOSSでも同様のAI生成レポート問題が報告されており、業界全体のトレンドとして他プログラムが追随する可能性はあります。
Q5. 新制度でGitHubのセキュリティは弱くなりませんか？
GitHubの意図は逆で、低品質レポートのトリアージ負荷を減らし、重大な脆弱性に集中することが目的です。ただし、公開プログラムの報奨金低下が新規研究者の参入を減らす副作用があるかは、今後のデータを見る必要があります。
まとめ
GitHubのバグバウンティ制度改定は、確定した事実として7月27日に発効します。公開プログラムの報奨金は全重要度で半減以上、VIP招待制で旧水準以上の報奨金が用意される二層構造です。
この動きは「AIが仕事を奪う」ではなく、「AIが生み出すノイズにどう対処するか」という、より切実な問題を映しています。GitHubという開発者にとって最も身近なプラットフォームがこの判断を下したことは、バグバウンティ業界だけでなく、AIと人間の作業品質の線引きについて、ひとつの基準を示したと言えます。
制度の効果——本当に質が上がるのか、新規参入が細るのか——は、数ヶ月後のデータを見ないとわかりません。
参考・出典
- Next chapter: Restructuring GitHub's bug bounty program（https://github.blog/security/next-chapter-restructuring-githubs-bug-bounty-program/） — GitHub Blog（参照日: 2026-07-25）。新制度の報奨金額・VIP条件・発効日・Catherine Cassellのコメントの出典
- GitHub Cuts Public Bug Bounty Payouts, Moves Top Rewards to VIP Tier（https://thehackernews.com/2026/07/github-cuts-public-bug-bounty-payouts.html） — The Hacker News（参照日: 2026-07-25）。旧報奨金のレンジ・curlプロジェクトの確認率データの出典
- Raising the bar: Quality, shared responsibility, and the future of GitHub's bug bounty program（https://github.blog/security/raising-the-bar-quality-shared-responsibility-and-the-future-of-githubs-bug-bounty-program/） — GitHub Blog（参照日: 2026-07-25）。Jarom Brown氏による2026年5月の前段投稿。「The tools don't matter. The quality of the work does.」の出典
- GitHub slashes public bug bounty payouts as AI report flood buries its security team（https://www.theregister.com/devops/2026/07/23/github-slashes-public-bug-bounty-payouts-as-ai-report-flood-buries-its-security-team/5277046） — The Register（参照日: 2026-07-25）
- GitHub restructures bug bounty program following flood of AI-generated reports（https://www.techradar.com/pro/security/github-restructures-bug-bounty-program-following-flood-of-ai-generated-reports） — TechRadar（参照日: 2026-07-25）
