Платформа HackerOne сообщила, что с момента своего основания немногим более 10 лет назад выплатила «белым» хакерам более 300 миллионов долларов. Платформа управляет программами премирования за найденные уязвимости (BugBounty) многих крупных компаний и организаций. Большинству из них не хватает экспертизы, чтобы оценить степень опасности уязвимостей и адекватность сообщений о них, и специалисты HackerOne выступают связующим звеном между сообществом независимых исследователей и бизнесом.
За время работы платформы 30 исследователей смогли получить вознаграждения на сумму более 1 миллиона долларов. А рекордсменом стал «белый» хакер, чьи сообщения об уязвимостях помогли ему заработать свыше 4 миллионов долларов. Медианная сумма вознаграждения за найденную уязвимость составляет в этом году 500 долларов. При этом медианная сумма в выборке 10% самых крупных вознаграждений составляет порядка 3 тысяч долларов. Если выделять в отдельную категорию критические уязвимости и уязвимости с высокой степенью риска, то здесь средняя сумма вознаграждения равна 3700 долларам, а в 10-процентной выборке самых высоко оплаченных – 12 тысяч долларов. Также важно отметить, что средний срок, в течение которого компания или организация выносит окончательное решение по полученной информации об уязвимости составляет в нынешнем году 25,5 дня, сократившись на 28% по сравнению с прошлым годом.
Наиболее активно и охотно «белые» хакеры ищут уязвимости в продуктах и сервисах криптовалютных и блокчейн-компаний, что, разумеется, обусловлено высокими суммами вознаграждений, которые они предлагают. Кстати, самая высокая на данный момент премия нынешнего года – 100 050 долларов – была выплачена именно криптовалютной компанией.
Любопытно, что более половины исследователей, участвующих в программах премирования HackerOne, сообщили, что так или иначе используют генеративные модели искусственного интеллекта – в частности, для составления более качественных сообщений об уязвимостях, их перевода на другой язык и даже для написания кодов. 61% «белых» хакеров признали, что в будущем планируют применять генеративные модели и для поиска уязвимостей. Впрочем, 55% также ожидают, что и сами инструменты искусственного интеллекта станут в ближайшее время обширным полем поиска уязвимостей.
