ハッカーワンが方針転換で衰退

脆弱性報酬プラットフォーム「HackerOne」の経営方針と技術戦略の転換を巡り、セキュリティコミュニティ間で大きな議論と信頼の低下が起きている。同社は2011年にJobert Abma氏とMichiel Prins氏によって設立され、倫理的ハカーと企業を安全につなぐ場としてbug bountyの黎明期を牽引してきた。2017年から2020年にかけて開催されたライブハッキングイベントや研究者コミュニティ支援は業界の黄金期と呼ばれ、プラットフォームはセキュリティ研究者中心の価値観を基盤としていた。 2020年代半ば以降、ベンチャーキャピタルからの資金調達拡大に伴い経営陣が入れ替わり、収益重視の法人営業モデルへ移行した。プラットフォーム機能の更新停滞、トリアージ品質の低下、研究者間の待遇格差を招く「Hacker Success Program」の導入などが指摘され、コアユーザー層との溝が広がった。2024年末にはCEOがMarten Mickos氏からKara Sprague氏へ交代し、bug bountyから「CTEM（継続的脅威曝露管理）」へとブランド再編を進めた。 2026年2月、利用規約改正によりプラットフォーム上のレポートがAIモデルの学習データに使用される可能性が示され、コミュニティから強い反発が寄せられた。共同創業者のAlex Rice氏や新CEOは、研究員のデータを用いた生成AIの学習やファインチューニングは行っていないと説明した。ただし、AI支援トリアージシステムの運用について「レポートの拒否理由や行動履歴をデータベースに保存し、今後の判定に活用する」との証言がなされ、機能的には学習と同等の処理が行われているとの批判が収まらない。 6月には「HackerOne Continuous Testing」の新製品発表で、過去12年以上の脆弱性データや報酬報告をエージェントの学習に使用すると記載されたことで再炎上した。同社はスコープ認識や重複排除のための文脈利用に過ぎず、他顧客の発見技術を転用するものではないと説明し、文書を修正した。創業者らは長期的に研究者が技法を共有し報酬を得るモデルへの移行を視野に入れるものの、現時点では基盤構築段階にとどまっていると認めた。 HackerOneの方向性転換は、セキュリティ研究者の信頼を大きく損ない、プラットフォーム離れや社内体制構築の動きを促している。コミュニティは「ハカーの存在こそがプラットフォームの根本である」と指摘し、代替手段の開発や市場の再編を呼び掛けている。技術的中立性と透明性を欠くAI活用方針が、コミュニティ主導のセキュリティエコシステムにどのような影響を与えるか、今後注目される。