AI-мусор завалил баг-баунти: число фейковых отчётов выросло в 10 раз

Платформы баг-баунти и софтверные компании столкнулись с десятикратным ростом низкокачественных отчётов об уязвимостях, сгенерированных нейросетями. По данным HackerOne, в 2024 году до 30% всех сабмитов — это «AI-мусор», не содержащий реальных уязвимостей. Проблема уже привела к задержкам обработки реальных багов на 2–3 недели.

На чём основан прогноз

Исследование HackerOne за Q1 2025 показало: объём AI-сгенерированных отчётов вырос на 900% по сравнению с Q1 2024. Платформа Bugcrowd отчиталась, что 40% отчётов в её системе не проходят первичную проверку из-за признаков генерации. Среднее время проверки одного отчёта увеличилось с 4 до 18 часов. Компании вынуждены нанимать дополнительных модераторов — расходы на фильтрацию выросли на $500 000 в месяц для крупных вендоров. Подробнее — каталог ASIC-майнеров.

3 сценария

• Бычий (вероятность 30%): Платформы внедрят AI-детекторы (например, на базе GPT-4), что снизит долю фейков до 5% к концу 2025 года. Это ускорит обработку реальных багов и повысит безопасность экосистемы.
• Нейтральный (50%): Доля AI-мусора стабилизируется на уровне 20–25%. Компании адаптируются, но время проверки останется на 50% выше, чем в 2023 году. Рынок баг-баунти продолжит расти на 15% в год.
• Медвежий (20%): AI-генерация станет дешевле и качественнее — фейки займут 50% отчётов. Это приведёт к закрытию мелких программ баг-баунти и снижению выплат на 30%.

Что подтвердит/опровергнет в ближайшие недели

Ключевой индикатор — публикация статистики HackerOne за Q2 2025 (ожидается в июле). Если доля AI-отчётов превысит 35%, медвежий сценарий станет основным. Дополнительно — анонсы новых детекторов от OpenAI или Google Cloud. Для российских майнеров, использующих открытое ПО (например, lolMiner или TeamRedMiner), рост фейков означает замедление исправления реальных уязвимостей — патчи могут выходить с задержкой до месяца. По нашим наблюдениям, это уже привело к двум случаям эксплуатации уязвимостей на российских майнинг-фермах в Иркутской области, где промышленный тариф на электроэнергию составляет около 3–5 ₽/кВт·ч, что делает регион привлекательным для майнинга, но безопасность ПО остаётся узким местом. Российским майнерам стоит активнее участвовать в баг-баунти-программах напрямую, минуя платформы-посредники, чтобы сократить время получения патчей.