はじめに——「AIがバグを見つける時代」に人間は何ができるか
今回は、AI時代に生まれた高単価な仕事「バグバウンティ」を紹介します。バグバウンティとは、企業が「自社のシステムの弱点を見つけて報告してくれた人」に報酬を払う制度です。
ただし正直に書きます。2026年は「人間がバグバウンティで稼ぐ」節目の年です。なぜなら、AIが自動で脆弱性を発見するようになったからです。
AIが自動でバグを見つける時代
2026年、AIエージェントがバグバウンティの世界に参入し始めました。たとえばClaude（AI）は、Firefoxのソースコードを2週間でレビューし、22の脆弱性（うち14個は深刻度「高」）を発見しました（YouTube解説）。
また、HackerOneのレポートでは、AIを活用した脆弱性レポートは前年比210%増加しています（BleepingComputer報道）。
つまり、「AIが勝手にバグを見つけて報告する」時代が始まったのです。
人間のハンターはどこで勝負すべきか
では、人間のバグハンターは不要になったのか？——そんなことはありません。ただし、勝ち方は変わりました。
AIに負ける領域：
- 「よくあるパターンのバグ」（AIが大量に発見）
- ソースコードの自動解析（AIの方が速い）
- 単純な設定ミス（AIがスキャン）
人間が勝てる領域：
- 複雑なビジネスロジックのバグ（「この操作をこの順番にすると、権限がおかしくなる」系）
- コンテキストを理解した上で発見する脆弱性
- 複数のシステムが連動したときに生じる問題
AIは「考え方の提案者」として使います。最終的な判断と発見は人間が行います。
実際の報酬例
実際の報告例を見てみましょう。
- HackerOneで2件の報告をして、それぞれ3,500ドル（約52万円）と900ドル（約13万円）を受け取った事例（Zenn体験記）
- Anthropicのモデル安全性プログラムで、深刻度に応じて15,000〜35,000ドル（約220〜520万円）の報酬ティア（Anthropic公式）
発注先・仕事の入手先
バグバウンティの仕事は、以下のプラットフォームに登録して始まります。
- HackerOne——世界最大級（公式）
- Bugcrowd——HackerOneと並ぶ大手
- 国内の脆弱性報奨金プログラム
所感
正直に書きます。バグバウンティは「誰でもすぐ稼げる」仕事ではありません。Webセキュリティの基礎知識は必須ですし、AIが自動で見つける時代になったことで、参入ハードルは上がりました。
ただし、AIは「道具」として使えます。AIに「どこを調べればいいか」を提案させ、人間が最終的に脆弱性を特定する——この「人間×AI」のスタイルが、これからのバグバウンティの主流になるでしょう。
私自身はセキュリティの知識が足りず、まだ挑戦できていません。まずは練習環境で1本報告を出すことを目標に、少しずつ進めてみようと思っています。
まとめ
バグバウンティは、AI時代に生まれた「AIを鍛える側」の仕事です。ただし、AIが自動で脆弱性を発見するようになったため、人間は「複雑なビジネスロジックのバグ」に特化する必要があります。AIを道具として使う「人間×AI」のスタイルが、これからの勝ち方です。
コメント