Microsoftが実施する研究チャレンジ兼ライブハッキングイベント「Zero Day Quest」において、セキュリティ研究者が提出した700件近くの脆弱性報告に対し、総額230万ドルが支払われました。
Microsoft Security Response Center(MSRC)は2026年8月3日、過去1年間でバウンティプログラムを通じて64カ国562人のセキュリティ研究者に2,000万ドル以上を授与したと発表しました。これは過去最高の支払総額であり、参加研究者数としても過去最大規模となります。
前年は59カ国344人の研究者に1,700万ドルを支払っており、今回はそれを大きく上回る伸びを示しました。
MSRCによると、この急増の一因は下半期における報告件数の増加にあり、コミュニティのエンゲージメント強化に加えて、脆弱性調査を加速させるAIツールの活用拡大も背景にあるとしています。
Zero Day Questは Microsoftのレドモンドキャンパスで開催され、20カ国から集まった研究者がMicrosoftのセキュリティ・エンジニアリングチームと直接連携しながら取り組みました。
今回のイベントでは、クラウドインフラとAIプラットフォームにまたがる優先度の高い攻撃対象領域に焦点が当てられました。これらの領域は、企業によるハイブリッドクラウドと生成AIサービスへの依存が拡大する中、Microsoftが重要視している分野です。
参加者はチャレンジおよびライブハッキングセッションを通じて合わせて700件近くの脆弱性報告を提出し、230万ドルの賞金を獲得しました。この結果は、通常のバウンティ提出と比較して、Zero Day Questが影響度の高い欠陥を発見するための集中的かつ高効率な場として機能していることを裏付けています。
Zero Day Questに加え、Microsoftが昨年決定した脆弱性報奨プログラムの対象範囲拡大も、引き続き成果を上げています。この拡大により、従来のバウンティ対象外だったオープンソースソフトウェア、サードパーティ製コンポーネント、Microsoftクラウドサービスが新たに対象となりました。
この方針変更以降、Microsoftはこれまでより300件以上多くの報告を受け取り、旧来の狭い対象範囲では認められなかったであろう脆弱性に対して80万ドル以上を支払っています。
この動きは、業界全体に見られるより大きな潮流を反映しています。現代の攻撃対象領域は自社製コードにとどまらず、サプライチェーンや依存関係のエコシステムにまで広がっているという認識が、ベンダーの間で広まっているのです。
セキュリティチームや脅威インテリジェンスの実務者にとって、今年の開示件数の規模は、研究者と脅威アクターの双方からますます標的とされているMicrosoftのクラウド・AIスタックに対する監視が一層強まっていることを示しています。
また、脆弱性発見にAI支援調査ツールを活用する動きが広がっていることから、防御側は発見サイクルの高速化を見込むべきですが、同様のツールを攻撃側が悪用することで、その恩恵が相殺される可能性もある点には注意が必要です。
Microsoftのクラウドサービスおよび AIプラットフォームを利用する組織は、MSRCのアドバイザリを注視すべきです。Zero Day Questのようなプログラムを通じた協調的な脆弱性開示は、悪用が野放しで発生する前に、重大な欠陥に対応するパッチの提供につながることが多いためです。
MSRCは今回のレビューの締めくくりとして、世界中の研究コミュニティに謝意を示し、協調的な脆弱性開示を単なる報奨金のやり取りではなく協働の取り組みとして位置づけました。
64カ国からの参加と過去最高の支払額という今回のデータは、クラウド・AI・企業インフラを狙う新たな脅威に対する最前線の防御策として、バグバウンティモデルが引き続き効果的に拡大していることを示しています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/microsoft-zero-day-quest-awards-2-3-million/
