AIが主導するバグバウンティの急増、しかし「スロップ」の脅威も増大している

バグバウンティ業界は現在、「豊かさの逆説」に直面している。生成AIツールの普及により、脆弱性の報告件数は過去最高を更新し続けているが、同時に価値の低い「スロップ（slop）」データが急増し、セキュリティチームを脅かしている。この現象は、セキュリティ専門家が有効な脅威を特定するために費やすコストと時間を飛躍的に増加させている。

バグバウンティ業界は豊かさの逆説に直面している。AIツールが提出量を記録的な水準に引き上げたが、同時にセキュリティチームを低価値なノイズで溺れさせようとする「スロップ」の洪水を引き起こした。

世界最大のバグバウンティプラットフォームの一つであるHackerOneのデータによると、2025年の有効なバウンティ提出件数は85,000件に達した。これは前年の2024年の79,439件から約7%増加した数値だ。この成長は、AIを活用した脆弱性検出ツールの普及が主な原因であると分析されており、市場の規模がかつてない速度で拡大していることを示している。

AI楽観論の拡散と認識の変化

Bugcrowdのレポートは、ハッカーの間でAIに対する認識がいかに劇的に変化したかを示している。2023年には、ハッキングにおけるAIの価値が高まると信じているハッカーはわずか21%だったが、2024年にはこの数値が71%に急増した。これは、セキュリティ研究者が自身のワークフローにAIを統合するスピードが非常に速いことを示唆している。

• 証明されていないSSL/TLS暗号化に関する報告
• 実行可能な概念実証（PoC）がないHTTPヘッダーの欠落報告
• 単純なサーバーエラーメッセージの羅列
• スパム的なメールプロトコル関連の攻撃試行

セキュリティ業界において「スロップ」とは、AIが生成した低品質なセキュリティ報告書を意味し、これはS/N比（信号対雑音比）を悪化させる主因となっている。多くのAI生成報告書が、実際に動作する概念実証（PoC）なしに理論的な脆弱性のみを羅列しており、セキュリティチームはこれらを一つずつ確認して選別するために膨大なリソースを消費している。これは結果として、有効な脆弱性を処理する速度を遅らせる副作用を生んでいる。

しかし、AIのスピードが人間の創造性を完全に代替できているわけではない。Bugcrowdの調査によると、AIが人間のハッカーよりも優れたパフォーマンスを発揮すると信じている回答者は22%にとどまり、AIが人間の創造性を再現できると信じている割合も30%水準にとどまった。これは、複雑で独創的な脆弱性検出の領域において、依然として人間の知能が核心的な役割を果たしていることを意味する。

Impervaの分析によると、AIの導入は逆説的に、発見された脆弱性1件あたりにより多くのセキュリティエンジニアを必要とさせる。AIが生成した結果に対する再現（Reproduction）と影響評価（Impact assessment）の過程で、人間の介入が不可欠だからだ。企業は現在、AI支援のレッドチーム運営と発見事項の処理のための専用パイプライン構築に、追加の予算を割り当てなければならない状況にある。

これらの課題に対応するため、プラットフォームはAIを利用してAIが作ったノイズを遮断する「防御的進化」を図っている。Microsoftの研究チームは、複数のLLMエージェントを活用してインシデントのトリアージ（Triage）を自動化する「Triangle」フレームワークを提案した。これは、急増する報告量を管理するために、分類段階から高度な自動化ツールを導入しようとする試みと解釈される。

結局、生成AIはバグバウンティのエコシステムに、量的膨張と質的低下という諸刃の剣をもたらした。セキュリティ専門家は、AIが生成したポリシーや報告書を無条件に信頼するのではなく、生成と執行の間に厳格な検証レイヤーを置く新しい信頼モデルを構築すべきだと強調している。人間の創造性とAIの効率性が調和する点を見つけることが、今後のセキュリティ市場の核心的な課題となる見通しだ。