I pagamenti del Microsoft Bug Bounty raggiungono il record di 20 milioni di dollari

I pagamenti dei bug bounty di Microsoft hanno raggiunto la cifra record di 20 milioni di dollari durante l’ultimo anno del programma, poiché sempre più ricercatori di sicurezza hanno segnalato vulnerabilità in ambito cloud, intelligenza artificiale e tecnologie open-source.

L’azienda ha assegnato oltre 20 milioni di dollari attraverso i suoi programmi di bug bounty tra il 1° luglio 2025 e il 30 giugno 2026. Un totale di 562 ricercatori ha ricevuto dei pagamenti, portando la ricompensa media a circa 35.000 dollari per ricercatore.

Microsoft ha distribuito circa 3 milioni di dollari in più rispetto all’anno precedente. Tuttavia, il pagamento medio per ricercatore è sceso da circa 49.000 a 35.000 dollari.

La media più bassa non indica un minore investimento nella ricerca sulla sicurezza. Piuttosto, Microsoft ha accettato segnalazioni da un numero maggiore di ricercatori e ha ampliato i tipi di vulnerabilità idonei per le ricompense.

Zero Day Quest aumenta le segnalazioni di vulnerabilità

L’iniziativa Microsoft Zero Day Quest ha contribuito in modo significativo al totale record dei pagamenti.

I ricercatori hanno inviato quasi 700 segnalazioni di vulnerabilità attraverso l’iniziativa e hanno ricevuto 2,3 milioni di dollari in premi. Partecipanti provenienti da 20 paesi hanno analizzato problemi di sicurezza ad alta priorità che interessavano le piattaforme cloud e di intelligenza artificiale di Microsoft.

Il programma ha aiutato Microsoft ad attrarre ricercatori con diversi background tecnici, indirizzando al contempo la loro attenzione verso prodotti che avrebbero potuto creare rischi di sicurezza diffusi.

Zero Day Quest ha anche fornito ai ricercatori un modo strutturato per condividere le scoperte direttamente con Microsoft prima che gli aggressori potessero sfruttare le vulnerabilità.

Microsoft amplia l’ambito dei suoi bug bounty

Microsoft ha anche esteso i suoi programmi di bug bounty oltre i tradizionali prodotti e servizi target.

I ricercatori hanno potuto inviare vulnerabilità trovate in progetti open-source, componenti di terze parti e ulteriori servizi cloud Microsoft. Questi cambiamenti hanno prodotto più di 300 segnalazioni che non sarebbero state idonee in base alle regole precedenti.

Microsoft ha pagato oltre 800.000 dollari per le vulnerabilità coperte dall’ambito esteso.

Le regole di idoneità più ampie riflettono il modo in cui i moderni prodotti Microsoft dipendono da librerie esterne, software open-source e servizi cloud interconnessi. Una debolezza in un componente può influenzare diversi prodotti, anche quando Microsoft non ha creato il codice originale.

Gli strumenti di IA aumentano le segnalazioni di bug bounty

Microsoft ha attribuito parte della crescita delle segnalazioni all’uso di strumenti di IA da parte dei ricercatori durante l’individuazione delle vulnerabilità.

L’IA può aiutare i ricercatori ad analizzare il codice, identificare comportamenti anomali e testare potenziali debolezze di sicurezza più rapidamente. Può anche abbassare le barriere tecniche per le persone che si avvicinano ai programmi di bug bounty.

Tuttavia, l’aumento delle segnalazioni assistite dall’IA crea una nuova sfida per i team di sicurezza. Le aziende devono elaborare più segnalazioni, confermare quali rappresentano vulnerabilità reali e separare i risultati critici da quelli a basso impatto o duplicati.

Microsoft ha già riconosciuto di poter avere difficoltà a stare al passo con i bug scoperti da Claude Mythos, dimostrando come i sistemi di IA possano identificare i difetti più velocemente di quanto gli sviluppatori possano esaminarli e correggerli.

Il numero crescente di segnalazioni sta cambiando il modo in cui le aziende tecnologiche strutturano i loro programmi di ricompensa.

GitHub ha recentemente modificato la sua struttura di pagamento per i bug bounty per offrire ricompense più elevate e benefici aggiuntivi per la ricerca di sicurezza di valore.

Microsoft sta anche rafforzando altre parti della sua catena di approvvigionamento software. L’azienda ha recentemente ridotto la durata delle chiavi API NuGet per limitare i danni causati da credenziali di pubblicazione rubate o esposte.