バグバウンティ（脆弱性報奨金制度）とは｜仕組みと報酬相場、導入のポイント

「脆弱性を見つけたら教えてください。お礼はお支払いします」——そんな仕組みを、GoogleやMicrosoftだけでなく、日本国内の企業も次々と取り入れています。それが「バグバウンティ（脆弱性報奨金制度）」です。攻撃者に先回りして脆弱性を見つけてもらうこの仕組みは、なぜ多くの企業に広がっているのか、そしてどんな課題を抱えているのか。最新のデータをもとに整理します。

バグバウンティとは

似た仕組みに「VDP（Vulnerability Disclosure Program、脆弱性報告プログラム）」があります。両者はよく混同されますが、狙いには違いがあります。

多くの企業は、まずVDPで「報告を受け付ける窓口」を整備し、そのうえでバグバウンティへと発展させるという順序で導入しています。

市場の規模：支払われている報奨金はどれくらいか

大手バグバウンティプラットフォームHackerOneの発表によると、2024年7月〜2025年6月の1年間で支払われた報奨金の総額は約8,100万ドル（当時のレートで約120億円規模、記事内では便宜上1ドル100円換算で概算すると約81億円）にのぼり、前年から13%増加しました。上位10プログラムだけで2,160万ドルを占めるなど、一部の大規模プログラムに支払いが集中する傾向も見られます¹。

報酬額は脆弱性の深刻度によって大きく変わります。一般的な目安と、実際の統計を組み合わせると次のような相場感になります。

深刻度・立場	おおよその報酬水準
一般的なCritical（重大）な脆弱性1件	約3,000〜15,000ドル程度
トップクラスの専業バグハンター（年収）	50万ドル（約7,500万円）を超えるケースも
Google・Microsoftなど大手プログラムの特に重大な報告	個別に数万ドル〜のボーナスが上乗せされることもある

AI時代で急増する新しい脆弱性

バグバウンティの世界でも、AIの存在感が急速に高まっています。HackerOneの分析では、AIに関連する脆弱性報告は前年比210%増加し、なかでも「プロンプトインジェクション」（AIへの指示に悪意ある入力を紛れ込ませ、意図しない動作をさせる攻撃）の報告は540%増という急拡大を見せています²。AIエージェントを業務に組み込む企業が増えるにつれ、こうした新しいタイプの脆弱性を狙う研究者・攻撃者双方が増えていると考えられます。AIエージェント特有のリスクについてはAIエージェントのセキュリティリスクの記事でも詳しく扱っています。

課題：報告の『質』をどう保つか

バグバウンティには、参加者が増えるほど「質の低い報告」が混じりやすくなるという構造的な課題もあります。

また、GitHubは2026年7月、公開プログラムの支払い上限額を引き下げ、より高い報奨金は招待制の非公開プログラムに限定する方針転換を発表しました⁴。バグバウンティは「窓口を開けば自動的にうまくいく」制度ではなく、報告の質を維持するための運用ルール作りが年々重要になっていることがうかがえます。

企業が導入するときの進め方

トリアージや報告受付の体制は、SOC（セキュリティオペレーションセンター）の運用や、インシデント対応の手順と地続きの取り組みです。また、対象となりやすいWebアプリケーションの代表的な脆弱性はWebアプリケーションの脆弱性の記事で整理しています。自社に専門人材がいない場合は、HackerOneやBugcrowdのようなプラットフォーム事業者に運用を委託する選択肢も一般的です。

まとめ

• バグバウンティは、脆弱性を発見・報告した外部研究者に報奨金を支払う制度で、報奨金なしの「VDP」から発展させて導入する企業が多い
• HackerOneだけで年間約81億円規模の報奨金が支払われており、前年から13%増加するなど市場は拡大を続けている
• AI関連の脆弱性報告は前年比210%増、プロンプトインジェクションは540%増と、AI活用の広がりに比例して新しいタイプの報告が急増している
• curlの事例のように、無効な報告が多いと運用負担が増すという課題があり、GitHubのように支払い方針を見直す企業も出てきている
• 導入にはスコープ設計・報奨金の等級付け・トリアージ体制・インシデント対応との連携が欠かせない

もう少し詳しく（背景）

日本国内でもバグバウンティの導入は進んでいます。LINEヤフーをはじめとする大手IT企業が独自のプログラムを運営しているほか、国内発のプラットフォーム「IssueHunt」がバグバウンティやVDPの運営を支援するサービスを提供しており、専業のバグハンターが登場するほど市場が育ちつつあります⁵。海外のグローバル企業と比べると報奨金の規模はまだ小さいものの、SaaS事業者やスタートアップを中心に、外部の目でセキュリティをチェックしてもらう文化が徐々に根付き始めています。

一方で、バグバウンティは「導入すれば安心」という魔法の制度ではありません。トリアージの手間や報奨金の予算確保など運用コストは決して小さくなく、セキュリティのROIの記事で扱っているように、投資対効果を踏まえた設計が求められます。自社にとってバグバウンティが向いているかどうかを判断する前提として、まずはサイバーセキュリティとは？で全体像を押さえ、サプライチェーンのセキュリティのように外部との接点全体をどう守るかという視点とあわせて検討するのがおすすめです。

Footnotes

1. HackerOneの発表によれば、2024年7月〜2025年6月の1年間の報奨金支払い総額は8,100万ドルで前年比13%増。上位10プログラムが2,160万ドルを占め、検証済み脆弱性の累計は58万件を超える。円換算額は目安であり、時期のレートにより変動する。 ↩

2. 同社の分析では、AI関連の脆弱性報告が前年比210%増、うちプロンプトインジェクション（AIへの入力を通じた意図しない動作の誘発）の報告が540%増と急拡大している。 ↩

3. curlの開発者ダニエル・ステンバーグ氏は、確認可能な脆弱性報告の割合が5%を下回ったことを理由に、2026年1月末でHackerOne上の有償バグバウンティプログラムを終了したと報じられている。 ↩

4. GitHubは2026年7月、公開プログラムでの支払い上限額を引き下げ、より高額な報奨金を招待制の非公開プログラムに限定する方針変更を発表したと報じられている。 ↩

5. 国内のバグバウンティ支援プラットフォーム「IssueHunt」は、企業のバグバウンティ・VDP運営を支援するサービスを提供しており、LINEヤフーなど国内大手企業も独自のプログラムを運営している。 ↩