報告件数は2026年前半に急増、押し上げた要因はAI活用
奇遇なことに、この1700万ドルは、マイクロソフトが1年前の集計期間（2024年7月1日〜2025年6月30日）に報奨金プログラムを通じて研究者へ支払った額でもある。当時としては過去最高だった。この1年について、MSRCの広報担当者は「マイクロソフトの脆弱性報奨プログラム全体で大きな成長が見られ、より多くの研究者と、より影響の大きなセキュリティ上の発見に報いることができました」と述べた。当然ながら、寄せられる脆弱性報告の件数も「顕著に増加」したことをマイクロソフトは認めている。とくに2026年に入ってからの伸びが大きく、その一因は「セキュリティ研究を支援するAIの利用拡大」にあるという。
AIだけでは足りない──偽の脆弱性を見抜く熟練研究者が必要
だが、AIだけでは足りない。脆弱性に見えて実際はそうでないものを確定済みの脆弱性として開示レポートに紛れ込むのを防ぎ、見つかったものを検証し、トリアージ（報告の緊急度を切り分ける作業）と対処に向けて適切な文脈とともに提示する。そこには熟練したセキュリティ研究者の手が要る。実際、直近のマイクロソフトのライブハッキングイベント「Zero Day Quest」では、研究者から700件近くの報告が寄せられ、総額230万ドル（約3億6000万円）の報奨金が支払われた。しかもそのすべてが、レドモンドの同社キャンパスで、セキュリティ部門やエンジニアリング部門と直接、その場でやり取りしながら進められたものだ。
ここまでの流れが示しているのは、あらゆる製品とプラットフォームで顧客を守るには、マイクロソフトと世界のセキュリティ研究コミュニティとの強固な関係が欠かせないということだ。もっとも、最近はつまずきもあった。あるセキュリティ研究者がMSRCと真っ向から衝突し、事前の開示も予告もないままゼロデイ脆弱性を公開するという一件だ。それでも結論は変わらない。自分も協力してみたいと思うなら、マイクロソフト報奨金プログラムのページで詳しい情報を得られる。
