AI เพิ่มรางวัลบั๊กไบนารีของ Microsoft ถึง $20 ล้านในปี 2025‑2026

Microsoft เปิดเผยว่าในช่วงระยะเวลาตั้งแต่ 1 กรกฎาคม 2025 ถึง 30 มิถุนายน 2026 บริษัทได้จ่ายรางวัลบั๊กไบนรี มากกว่า $20 million ให้กับนักวิจัยจำนวน 562 คน ซึ่งเป็นสถิติที่สูงที่สุดตั้งแต่เริ่มทำงานของโปรแกรม ทั้งนี้การเพิ่มจำนวนและมูลค่ารางวัลส่วนหนึ่งสืบเนื่องจากการนำระบบ AI เข้ามาช่วยสนับสนุนกระบวนการค้นหาจุดอ่อน

Overview

ช่วงปีบัญชีล่าสุด Microsoft รายงานว่าราคาตอบแทนรวมเป็น $20 million ซึ่งสูงกว่าปีก่อนที่จ่าย $17 million ให้กับนักวิจัย 344 คน ตัวเลขเหล่านี้บ่งชี้ถึงการเติบโตของโปรแกรมบั๊กไบนรีอย่างต่อเนื่อง แม้ว่ากระบวนการส่งรายงานอาจยังคงมีความซับซ้อนและทำให้ผู้สมัครบางส่วนรู้สึกท้อใจ แต่จำนวนผู้เข้าร่วมที่เพิ่มขึ้นแสดงให้เห็นถึงแรงจูงใจทางการเงินที่แข็งแรง

Program Expansion & Policy Change

ในเดือนธันวาคม 2025 Microsoft ปรับนโยบายของโปรแกรมโดยเปิดใช้แนวคิด “In Scope By Default” ซึ่งทำให้ช่องโหวรวิกฤติที่มีผลกระทบต่อบริการออนไลน์ของบริษัทจะได้รับรางวัลแม้ว่ารหัสต้นฉบับจะมาจากบุคคลภายนอกหรือโครงการโอเพ่นซอร์ส การเปลี่ยนแปลงนี้ส่งผลให้:

• $800,000** ของเงินรางวัลเพิ่มขึ้นจากรายการที่ก่อนหน้านี้ไม่ถือว่าอยู่ในขอบเขต
• โปรแกรม Zero Day Quest ให้รางวัลรวม $2.3 million** ในปีเดียวกัน

การขยายขอบเขตดังกล่าวทำให้ Microsoft สามารถดึงดูดนักวิจัยเพิ่มขึ้นและเปิดโอกาสรับข้อมูลเชิงลึกที่อาจถูกมองข้ามในระบบเดิม

AI Influence on Vulnerability Discovery

Microsoft ชี้ว่า การใช้ AI เพื่อสนับสนุนการวิจัยด้านความปลอดภัยเป็นหนึ่งในสาเหตุสำคัญของจำนวนรายงานที่เพิ่มขึ้นอย่างเห็นได้ชัด โดยเฉพาะช่วงครึ่งหลังของปีบริษัทได้รับการส่งข้อมูลเข้ามามากกว่าครึ่งแรก นอกจากนี้ AI ยังถูกนำไปใช้ในการค้นหาช่องโหวรภายในทีมของ Microsoft เอง ซึ่งทำให้จำนวนช่องโหวรที่ต้องแก้ไขในวัน Patch Tuesday เพิ่มขึ้นอย่างรวดเร็ว

Patch Tuesday Surge

สถิติของ Microsoft แสดงว่ามีการปล่อยแพตช์ใหม่จำนวนมากในแต่ละเดือน:

• เดือนกรกฎาคม 2024 มีช่องโหวร 622 รายการ ซึ่งสูงกว่าเรคคอร์ดก่อนหน้าที่ 206 รายการเพียงหนึ่งเดือน
• มิถุนายน 2024 เหนือกว่าเมษายนที่มี 165 รายการ และพฤษภาคมที่มี 137 รายการ

ผู้บริหารระดับสูงของ Windows + Devices, Pavan Davuluri, เตือนว่าการใช้ AI จะทำให้จำนวนช่องโหวรเหล่านี้เพิ่มต่อเนื่อง แม้ Microsoft จะมีชุดเครื่องมืออัตโนมัติสำหรับการแพตช์ แต่ยังไม่มีการระบุถึงเครื่องมือที่ช่วยแก้ไขปัญหาเครื่องลูกค้าที่ประสบปัญหาจากการอัปเดตบ่อยครั้ง

Controversy with NightmareEclipse

ในช่วงไตรมาสสองของปี 2024 นักวิจัยที่ใช้ชื่อ NightmareEclipse เริ่มเผยแพร่ช่องโหวรระดับศูนย์วัน (zero‑day) อย่างต่อเนื่องโดยอ้างว่าการรายงานต่อ Microsoft ทำให้เขาถูกดูหมิ่นและทำลายสถานะของตน การเปิดเผยเหล่านี้รวมถึงช่องโหวรที่ทำให้สามารถเข้าถึงสิทธิ์ SYSTEM หรือข้ามการป้องกันของ BitLocker ได้ ซึ่งกระตุ้นให้นักวิจัยคนอื่นตามแบบเดียวกัน

Microsoft ตอบสนองด้วยการเตือนว่าจะใช้หน่วยงาน Digital Crimes Unit เข้าร่วมคดีกับ NightmareEclipse และพร้อมร่วมมือกับหน่วยบังคับใช้กฎหมาย อย่างไรก็ตาม กระบวนการนี้ยังไม่ส่งผลให้มีการแก้ไขหรือหยุดยั้งการเผยแพร่ช่องโหวรดังกล่าวได้อย่างเต็มที่

Impact & Outlook

ข้อมูลเหล่านี้ชี้ให้เห็นว่าการรวม AI กับโปรแกรมบั๊กไบนรีของ Microsoft ทำให้จำนวนและมูลค่ารางวัลเพิ่มขึ้นอย่างต่อเนื่อง ซึ่งอาจกระตุ้นให้นักวิจัยส่วนอื่น ๆ ปรับใช้เทคโนโลยีคล้ายกันในการค้นหาช่องโหวร อย่างไรก็ตาม ความท้าทายด้านการจัดการข้อมูลที่ไหลเข้ามาเป็นจำนวนมากและความขัดแย้งกับนักวิจัยบางกลุ่มอาจทำให้บริษัทต้องพิจารณากลยุทธ์ใหม่ในเรื่องของการสื่อสารและการบังคับใช้กฎหมาย

Summary

Microsoft บันทึกรางวัลบั๊กไบนรีสูงสุด $20 million ให้กับ 562 นักวิจัยหลังจากขยายนโยบาย In Scope By Default และนำ AI เข้ามาช่วยค้นหาช่องโหวร จำนวน Patch Tuesday พุ่งขึ้นถึง 622** รายการในเดือนกรกฎาคม การเพิ่มรางวัลและเทคโนโลยีใหม่ทำให้บริษัทต้องเผชิญกับความท้าทายด้านการจัดการข้อมูลและข้อขัดแย้งกับนักวิจัยอย่าง NightmareEclipse.