bug bounty hunter

Bug bounty hunter to badacz zgłaszający podatności w programach bug bounty, czyli w programach, w których firma zaprasza zewnętrznych badaczy do szukania błędów i płaci za zgłoszenia uznane za ważne. Nagroda, pieniężna albo w postaci punktów reputacji, przysługuje tylko za zgłoszenie, które mieści się w zakresie programu i nie jest duplikatem. Na platformie HackerOne do wypłaty kwalifikują się zwykle raporty zamknięte jako rozwiązane, choć poszczególne programy mogą mieć własne zasady ^[1]. Bug bounty hunter działa w roli white hat: szuka błędów po to, by zostały naprawione.

Jak działa

Praca łowcy nagród zaczyna się od lektury regulaminu. Program określa zakres, czyli systemy, które wolno testować, zasady zakazujące niektórych technik oraz stawki. Badacz bezpieczeństwa szuka błędu w tych granicach, potwierdza go i pisze raport z opisem, krokami odtworzenia i dowodem wykonalności, czyli PoC (proof of concept). Raport trafia na platformę albo bezpośrednio do producenta, gdzie przechodzi triaż (triage): ocenę, czy błąd jest prawdziwy, nowy i istotny.

Obieg raportu pokazuje schemat poniżej.

RYS. 1Obieg zgłoszenia w programie bug bounty

Duplikat to zgłoszenie błędu, który był już zgłoszony albo jest znany zespołowi klienta; tak samo oznacza się raporty usuwane jedną poprawką z powodu wspólnej przyczyny ^[1]. Status „Informative” oznacza raport z prawdziwą informacją, która nie wymaga działania, a „Not Applicable” raport bez ważnego, powtarzalnego problemu ^[1].

Reputacja i statusy zgłoszeń

Na HackerOne reputacja mierzy, na ile znaleziska badacza są od razu istotne i nadają się do działania ^[2]. Wysoka reputacja daje dodatkowe przywileje, w tym zaproszenia do prywatnych programów, a jej spadek ogranicza liczbę raportów, które można wysłać w danym okresie ^[2].

Duplikaty własnych raportów nie wpływają na reputację, dzięki czemu program może zamknąć kilka zgłoszeń o wspólnej przyczynie bez karania badacza ^[2].

W WordPressie

Ekosystem WordPressa ma kilka miejsc, w których działają łowcy nagród. Błędy rdzenia w wersji instalowanej samodzielnie zgłasza się w programie WordPressa na HackerOne, a błędy WordPress.com i wtyczek Automattic w programie Automattic ^[3]. Nagrody w programie rdzenia są podwajane między wersją Beta 1 a ostatnią wersją Release Candidate wydania głównego ^[3]. Podręcznik wymienia też, czego nie uznaje za problem bezpieczeństwa, na przykład ujawnienie nazwy lub identyfikatora użytkownika czy ścieżki wynikające z błędnej konfiguracji serwera ^[3]. Dlatego zgłoszenie samej enumeracji użytkowników w rdzeniu nie przyniesie nagrody.

Większość błędów to jednak podatności we wtyczkach. Zespół wtyczek wordpress.org przyjmuje zgłoszenia, ale nie wypłaca nagród i nie pomaga w uzyskaniu numeru CVE ^[5]. Tę lukę wypełniają firmy bezpieczeństwa prowadzące własne programy. Patchstack w dniu sprawdzenia, 27 września 2026 roku, podawał stawki zależne od liczby instalacji wtyczki i od tego, czy błąd wymaga uwierzytelnienia; najwyższa, dla rdzenia i wtyczek z ponad 15 milionami instalacji przy błędzie bez uwierzytelnienia, wynosiła 33 000 USD ^[4]. Firma deklaruje też, że przypisuje badaczom numery CVE ^[4]. Program wymaga, by badacz najpierw skutecznie zgłosił podatność, zanim dołączy do platformy ^[4].

Dla właściciela strony wynika z tego jedna praktyczna rzecz: łowca nagród nie testuje jego serwisu, tylko kod wtyczek i motywów, najlepiej w środowisku testowym (staging). Program obejmujący kod wtyczki nie daje zgody na testowanie stron, które z tej wtyczki korzystają.

Zagrożenia i skutki

Model bug bounty ma słabe punkty po obu stronach. Badacz ryzykuje, że jego praca zostanie uznana za duplikat albo przywłaszczona. W czerwcu 2022 roku wyszło na jaw, że pracownik HackerOne podglądał raporty badaczy i zgłaszał te same błędy firmom z innego konta albo poza platformą ^[7]. Firma zablokowała go w ciągu 24 godzin i ustaliła, że podobnie postąpił wobec 7 innych badaczy ^[7]. To przykład zagrożenia typu insider.

Druga granica jest prawna. Program daje zgodę tylko w swoim zakresie. Poza nim badacz działa jak każdy, kto uzyskuje dostęp do cudzego systemu. W Polsce art. 269c Kodeksu karnego wyłącza karalność za czyny z art. 267 § 2 i art. 269a tylko przy łącznym spełnieniu warunków: działania wyłącznie w celu zabezpieczenia, niezwłocznego powiadomienia dysponenta systemu, braku naruszenia interesu publicznego lub prywatnego i braku szkody ^[8].

Historia i przykłady

Platformy coraz ściślej regulują status łowców nagród. Sekurak 3 sierpnia 2026 roku opisał wprowadzenie przez HackerOne obowiązkowej weryfikacji tożsamości dla badaczy biorących udział w płatnych programach bug bounty ^[6]. Weryfikacja obejmuje zdjęcie dokumentu i tzw. live selfie, jest powtarzana co rok, a wykrycie połączenia przez VPN lub proxy skutkuje odrzuceniem ^[6]. Zmiana wynika z przepisów o przeciwdziałaniu praniu pieniędzy (AML) i procedur KYC; w programach VDP bez nagród pieniężnych weryfikacja nie jest wymagana ^[6]. Wcześniej można było otrzymać nagrodę bez ujawniania tożsamości ^[6]. Dla badacza oznacza to koniec pełnej anonimowości w płatnych programach, co warto zestawić z pojęciami grey hat i skoordynowanego ujawniania podatności (coordinated vulnerability disclosure).