В HackerOne объяснили, почему ИИ пока не заменит хакеров при поиске сложных уязвимостей

Искусственный интеллект находит типовые уязвимости за считаные минуты, но сложные ошибки бизнес-логики и цепочки из нескольких слабых мест по-прежнему лучше выявляют люди. Об этом заявила генеральный директор HackerOne Кара Спраг в интервью Help Net Security. По её оценке, автоматизация удешевляет рутинные находки в программах bug bounty и повышает ценность исследователей, которые разбираются в устройстве бизнеса.

Логика бизнеса против шаблонов

Кара Спраг рассказала, что модели взяли на себя разведку, анализ кода, проверку типовых ошибок и подготовку отчётов, поэтому исследователи охватывают больше систем. В отчёте HackerOne 2026 года 72% опрошенных назвали уязвимости бизнес-логики самой быстрорастущей категорией в своей работе.

Классические ошибки модели находят легко, сопоставляя код с известными шаблонами. Уязвимость бизнес-логики редко прячется в одной функции, ведь каждая из них работает корректно, а риск возникает на стыке правил приложения. Автоматический сканер пропускает ситуации, когда безобидные по отдельности функции складываются в обходной путь:

• отмена заказа, смена платёжных реквизитов и автоматический возврат средств вместе дают возврат денег без отмены покупки;
• право просматривать данные в сочетании с правом приглашать коллег открывает чужую информацию;
• изменение номера заявки после согласования позволяет повторно использовать одобренную операцию.

Универсальный сканер не отличает действие, допустимое с точки зрения бизнеса, от нарушения внутренних правил, а человек проверяет, приводит ли подозрительная последовательность операций к реальному ущербу. Кара Спраг заявила, что понимание контекста организации, оценка последствий и подготовка рекомендаций по устранению пока остаются за исследователем.

Рутина дешевеет, сложное дорожает

Модели стали рабочим инструментом для большинства исследователей, и опрос HackerOne показал масштаб перемен:

• 85% опрошенных развивают навыки работы с ИИ;
• 68% стали уделять больше внимания сложным уязвимостям с высоким вознаграждением;
• почти три четверти заявили, что ИИ помог увеличить число подтверждённых находок.

Выплаты исследователям на платформе в первой половине 2026 года выросли на 26% год к году, а в третьем квартале темпы ускорились, отметила Кара Спраг. С июля 2025 года по июнь 2026 года компании выплатили около 89,1 млн долларов, что на 18% больше предыдущего периода и стало рекордом платформы.

Если автоматические инструменты научатся быстро находить распространённую ошибку, компаниям будет сложнее оправдывать прежнюю выплату, а конкуренция вырастет, ведь награду получает тот, чей отчёт первым соответствует правилам программы. По прогнозу Кары Спраг, программы направят больше средств на критические и нестандартные проблемы, а вознаграждения за рутину окажутся под давлением. Та же логика применима и к российскому рынку, где исследователи участвуют в программах Standoff 365 Bug Bounty и BI.ZONE Bug Bounty.

Поток отчётов растёт быстрее пользы

С января 2025 года количество заявок на платформах bug bounty выросло в 2,8 раза, а число подтверждённых отчётов только в 1,9 раза. Разрыв создают сообщения, которые не требуют действий компании, и среди них встречаются:

• дубликаты уже известных проблем;
• заявки вне разрешённой области проверки;
• неподтверждённые предположения и спам.

Кара Спраг отметила, что определить долю отчётов, полностью созданных ИИ, затруднительно, поскольку специалист может сам найти уязвимость и поручить модели только описание. Компаниям нужны доказательства реальной проблемы, а не выяснение авторства, потому что модель способна сгенерировать убедительное описание атаки, которая на деле не сработает. Каждую заявку специалисты по триажу воспроизводят вручную, и чем больше неподтверждённых сообщений, тем дольше полезные находки ждут рассмотрения.

Платформы отвечают лимитами на число отчётов, зависящими от репутации исследователя. По словам Кары Спраг, ограничений мало, и платформам придётся ускорять обработку заявок и автоматизировать часть проверки, сохраняя участие людей.

Очередь исправлений растёт

Рост числа находок давит на команды разработки, и 70% опрошенных руководителей по информационной безопасности заявили, что подтверждённые уязвимости поступают быстрее, чем их успевают устранять. Скорость исправлений за два года улучшилась, но очередь продолжает расти, как показали данные отчёта:

• среднее время устранения проблемы сократилось со 135 до 62 дней;
• число подтверждённых, но не устранённых уязвимостей выросло на 131%;
• проверка критической уязвимости занимает около 30 часов.

В HackerOne назвали накопившийся разрыв между обнаружением и устранением Exposure Debt, то есть долгом по уязвимостям. Пока брешь остаётся открытой, злоумышленники могут ею воспользоваться, а 58% руководителей отметили задержки исправлений из-за приоритетов разработки продукта. Российским компаниям, которые запускают собственные программы вознаграждения, стоит заранее закладывать ресурсы на проверку и исправление, иначе очередь подтверждённых проблем будет расти быстрее возможностей команды разработки.

Эксперты CISOCLUB заявили, что граница между автоматизацией и человеческим опытом проходит по контексту, который невозможно считать из кода. Сканер или модель находят шаблонную ошибку, но не знают, кто в компании вправе подтверждать платёж и какое исключение допустимо. Поэтому ценность исследователя смещается к умению доказать реальный ущерб и объяснить разработчикам способ исправления. Рост потока отчётов требует от компаний выстроить триаж, иначе настоящие угрозы утонут среди дубликатов и спама. Отдельного внимания заслуживают собственные ИИ-системы компаний, где модель получает доступ к документам и внешним инструментам. Скорость исправления определяет риск не меньше, чем скорость поиска.