Нейросети завалили Bug Bounty отчётами, платформы тонут в ИИ-мусоре

За девять месяцев 2026 года на Standoff Bug Bounty прилетело 18,4 тыс. отчётов, что на 126% больше результата всего 2025 года. Подтверждённых уязвимостей прибавилось всего на 48%, а критических и опасных находок на 68%. Главным ускорителем потока заявок назвали ИИ-инструменты в руках багхантеров.

Директор по продуктам платформы Standoff 365 Иван Булавин рассказал «Ъ» на форуме «Цифровые решения», что нейросетевые помощники стали главным фактором, который разогнал поток заявок буквально до космических скоростей. Подтверждение получили около 4700 отчётов, то есть примерно четверть от общего числа.

Цифры Standoff Bug Bounty с января по сентябрь 2026 года:

• 18,4 тыс. отчётов, на 126% больше результата всего 2025 года;
• 4700 подтверждённых отчётов против 3200 за тот же период 2025 года;
• 1334 подтверждения по критическим и высокоопасным проблемам против 792;
• более 150 компаний, которые проверяют свои системы через платформу.

Председатель совета по противодействию технологическим правонарушениям КС НСБ России Игорь Бедеров отметил, что ИИ-помощники заметно ускорили техническую рутину исследователей. Сканирование, разбор исходного кода и поиск подозрительных настроек конфигураций теперь выполняются быстрее, а войти в профессию стало проще даже тем, кто раньше не имел за плечами большого опыта. Порог входа просел, и в багхантинг потянулись толпы новичков с подпиской на нейросеть.

Стоит обратить внимание, что отчётов стало больше на 126%, а подтверждённых проблем на 48%. Разрыв больше чем вдвое, и рынок уже связывает его с нейросетевым шумом.

Руководитель центра тестирования по проникновениям Innostage Александр Колесов заявил, что количество отправленных материалов растёт гораздо быстрее, чем число действительно полезных находок. Реклама Bug Bounty как источника заработка и низкий входной барьер привели на платформы новичков, которые скармливают нейросетям простейшие команды, а потом пачками отправляют результат. Александр Колесов обратил внимание на типичные признаки нейросетевого мусора в потоке заявок:

• простейшие команды вроде поиска способа взломать сайт;
• отправка получившихся текстов пачками;
• описания проблем, которых в проверяемых системах нет;
• громкая степень опасности без реальной возможности воспользоваться дефектом.

Игорь Бедеров напомнил, что сознательная отправка выдуманного отчёта способна рассматриваться как злоупотребление доверием площадки и в отдельных обстоятельствах получить квалификацию мошенничества. Окончательная проверка найденной проблемы в реальной системе остаётся обязательной процедурой, которую нельзя целиком отдать нейросети. Отправить выдуманную дыру в расчёте на выплату и получить вместо бонуса разговор с юристами, то ещё приключение.

Основатель BugBounty.Ru и руководитель российского отделения OWASP Foundation Лука Сафонов отметил, что вместе с потоком новых заявок растёт и количество невалидных материалов. Для борьбы с мусором площадки применяют следующие меры:

• ограничения на число новых отправок, в первую очередь для новых аккаунтов;
• проверка достоверности сообщений;
• анализ предыдущей активности исследователя.

Российским заказчикам багбаунти-программ стоит заранее продумать фильтры, иначе команды триажа утонут в потоке мусора, пока настоящие баги томятся в очереди.

Волна автоматизированных заявок накрыла не только Standoff, и крупные игроки уже начали сдаваться:

• Google в начале октября временно остановила приём сообщений о проблемах в открытом исходном коде по программе OSS VRP, потому что подавляющая часть автоматизированных заявок оказалась бесполезной;
• сопровождающий curl в январе свернул участие в Bug Bounty на HackerOne, когда ИИ-заявки начали приносить больше шума, чем пользы;
• Intel в сентябре полностью отказалась от денежных выплат за находки через Intigriti.

Утилита curl сидит в огромном числе продуктов, в том числе российских, поэтому любые проблемы с поиском в ней дыр касаются и отечественных пользователей. Если от программ уходят и техногиганты, и мейнтейнеры популярной утилиты, проблему пора считать общеотраслевой, а не локальной болячкой одной платформы.

Уточняется, что за 2025 год Google выплатила по OSS VRP более $17,1 млн 747 исследователям, а в октябре 2026 года приём заявок пришлось временно остановить.

Нейросети реально ускоряют поиск уязвимостей и поднимают число подтверждённых находок, но заодно позволяют слать отчёты промышленными партиями. Для Bug Bounty это новая гонка, где платформам приходится отделять работу исследователя от автоматической генерации текста, а компаниям считать не красивые отчёты, а закрытые дыры. Победит тот, кто научит фильтры отличать дыру от красивой выдумки быстрее, чем нейросеть научится выдумывать.

Эксперты CISOCLUB отметили, что рынок Bug Bounty столкнулся с классическим перекосом метрик, когда число отправленных отчётов растёт быстрее, чем польза от них. Платформам придётся переходить от оплаты за количество к оценке репутации исследователя и воспроизводимости находки, иначе триаж превратится в главную статью расходов. Нейросеть в руках опытного специалиста остаётся полезным инструментом для разбора кода и конфигураций, а в руках новичка превращается в генератор правдоподобных фантазий.

Компаниям с собственными программами стоит заранее закладывать в процессы ручную проверку воспроизводимости, потому что автоматическая фильтрация сама способна пропустить хороший отчёт. Исследователям выгоднее присылать меньше заявок, но с готовым доказательством эксплуатации, ведь репутация на площадках копится медленно и сгорает быстро. Рынок в итоге разделится на тех, кто использует ИИ как ускоритель, и на тех, кто использует его как печатный станок.

Ранее сообщалось, что Google приостановила приём новых отчётов в программе Open Source Software Vulnerability Rewards Program после того, как её заполнили созданные с помощью ИИ сообщения, большинство из которых не содержало реальных уязвимостей. Уже поступившие отчёты команда продолжит проверять, а новые пока принимаются только по проблемам, связанным с цепочкой поставок программного обеспечения. Google также намерена изменить правила программы, чтобы адаптировать её к большому количеству автоматизированных отчётов.