AI overspoelt de bug bounty’s van de grote techgiganten. Kunstmatige intelligentie spoort softwarelekken inmiddels sneller op dan menselijke onderzoekers dat kunnen. Daardoor kraken de beloningsprogramma’s van Microsoft, Apple en Google in hun voegen. In één week kozen die drie bedrijven drie totaal verschillende richtingen. Microsoft keerde een recordbedrag uit. Apple zette juist een rem op het aantal meldingen. Google paste stilletjes de prijskaartjes aan. Samen laten ze zien hoe snel dit vakgebied verandert.
Microsoft betaalde het afgelopen bounty-jaar ruim 20 miljoen dollar uit. Dat bedrag ging naar 562 onderzoekers wereldwijd. Een jaar eerder verdeelde het bedrijf nog ongeveer 17 miljoen dollar onder 344 mensen. Het aantal beloonde onderzoekers steeg dus met bijna twee derde. Microsoft wijst zelf naar het groeiende gebruik van AI in beveiligingsonderzoek. Toch past een kanttekening bij die cijfers. Het bedrijf verbreedde halverwege het jaar de criteria voor bugs. Daardoor laten beide jaren zich lastig één op één vergelijken.
Apple koos de tegenovergestelde route. De fabrikant hanteert voortaan een maximum aantal meldingen per onderzoeker via zijn beveiligingsportaal. Wie dat plafond raakt, moet een afkoelperiode van dertig dagen uitzitten. Extra meldingen indienen kan alleen nog na een speciaal verzoek. Apple verdedigt de maatregel met een praktisch argument. Door AI gegenereerde bevindingen bedelven de beoordelingsteams onder werk. Menselijke onderzoekers raken daardoor naar de marge geduwd. De rem moet die stroom weer beheersbaar maken.
De gevolgen werden meteen concreet bij beveiligingsbedrijf Bynario. Dat onderzocht een kritiek lek in macOS met verstrekkende impact. Via die kwetsbaarheid kon een aanvaller op afstand root-rechten krijgen. Midden in dat onderzoek liep Bynario tegen Apples limiet aan: vijftig bugs per drie weken. De ironie is nauwelijks te missen. Bynario had het macOS-lek namelijk juist met AI-hulpmiddelen gevonden. Precies de techniek die Apple wil afremmen, leverde dus een serieuze vondst op. Dat spanningsveld typeert het hele debat.
Google bewandelt een derde weg en kiest voor gerichte herprijzing. Het bedrijf herzag de beloningsstructuren van Android en Chrome. Nieuwe, complexe exploits die AI nog niet zelfstandig produceert leveren voortaan meer op. Voor routinematige vondsten daalt de vergoeding juist. Volgens Google maakt AI dat type ontdekking inmiddels bijna alledaags. Daarnaast stelt het bedrijf andere eisen aan de rapportage. Korte, reproduceerbare meldingen krijgen de voorkeur boven lange, door AI geschreven documenten. Zo stuurt Google onderzoekers naar het werk dat machines nog niet overnemen.
Onder die drie reacties ligt dezelfde economische verschuiving. Bug bounty’s beloonden oorspronkelijk schaarse menselijke expertise. Alleen een kleine groep specialisten vond serieuze kwetsbaarheden en beschreef ze overtuigend. AI haalt beide drempels omlaag. Het zoeken naar fouten en het opschrijven ervan kost nu veel minder moeite. Programma’s ontvangen daardoor een stortvloed aan inzendingen. Tegelijk zitten daar echte, ernstige lekken tussen. Bedrijven kunnen de instroom dus niet zomaar wegzetten als ruis.
Daarmee verschuift het zwaartepunt van vinden naar filteren. De schaarste zit niet langer in de ontdekking, maar in de beoordeling. Beveiligingsteams moeten kaf van koren scheiden zonder goede meldingen te missen. Elk van de drie aanpakken draagt een risico. Harde limieten kunnen ervaren onderzoekers frustreren of naar andere kanalen drijven. Lagere vergoedingen maken het vak minder aantrekkelijk voor beginners. En blijven doorbetalen zonder rem jaagt de kosten flink op. De komende jaren bepalen welke route standhoudt.
