In questo articolo Indice dei contenuti 3 sezioni
Il programma bug bounty di Intel, quello che fino a poco tempo fa poteva arrivare a pagare fino a 92.000 euro per una singola falla, risulta sospeso. Al suo posto è comparsa su Intigriti una nuova iniziativa di divulgazione responsabile che, nero su bianco, non prevede alcuna ricompensa. Nessuna spiegazione ufficiale, nessun comunicato: la pagina dichiara semplicemente di essere un programma di responsible disclosure senza taglie, mentre la vecchia bacheca delle ricompense resta online ma etichettata come sospesa.
La cosa curiosa è che il sito di Intel continua a mostrare i dettagli del vecchio schema, con premi indicati tra circa 460 e 92.000 euro a seconda della qualità della segnalazione e di altri parametri. Un programma nato nel 2017 in forma chiusa, solo su invito, e aperto a tutti i ricercatori nel 2018, con una copertura ampia che comprendeva software, hardware, firmware e progetti open source.
Intel: quanto pesava davvero il programma bug bounty
I numeri raccontano meglio di qualsiasi dichiarazione quanto fosse centrale questo canale. Nel 2020 quasi la metà delle vulnerabilità corrette da Intel, 105 su 231, era arrivata proprio attraverso il programma di ricompense. Non un dettaglio marginale, insomma, ma una parte consistente del lavoro di sicurezza dell’azienda.
La vecchia struttura prevedeva quattro fasce di gravità, ognuna con il suo listino. La prima andava da circa 1.800 a 92.000 euro, la seconda da circa 900 a 27.500 euro, la terza da circa 460 a 9.200 euro e la quarta da circa 230 a 4.600 euro. Tra metà 2025 e ottobre 2025 il perimetro era stato persino allargato ai servizi web, e in un aggiornamento del 6 gennaio pubblicato su Intigriti si parlava di criteri di bonus e ricompense potenziati in fase di valutazione. Nel giro di circa otto mesi si è passati da quella valutazione alla sospensione secca.
Il sospetto: troppe segnalazioni generate dall’AI
Il contesto aiuta a capire. Il kernel Linux e diversi progetti open source vengono letteralmente bombardati da report di sicurezza, tanto che i CVE del kernel hanno sfiorato quota 2.000 per release, quattro volte rispetto ai circa 500 di prima, con i manutentori completamente sommersi. Linus Torvalds, creatore del kernel, ha definito i report duplicati generati dall’intelligenza artificiale sulla mailing list di sicurezza quasi del tutto ingestibili. Curl, per fare un altro esempio, ha chiuso il proprio programma di ricompense proprio a causa della valanga di segnalazioni scadenti prodotte dall’AI.
Un precedente interessante arriva da HackerOne, che ha messo in pausa le sottomissioni al suo Internet Bug Bounty a partire dal 27 marzo, spiegando che la ricerca assistita dall’intelligenza artificiale sta ampliando la scoperta di vulnerabilità in tutto l’ecosistema, aumentando copertura e velocità. Le segnalazioni già in coda vengono comunque pagate, con importi che vanno da circa 63 a circa 2.080 euro in base alla gravità. Un segnale che il fenomeno colpisce soprattutto il software, forse meno hardware e firmware.
Chi resta in gioco e chi ha già chiuso
Anche la pagina Intigriti di AMD risulta oggi sospesa, anche se la piattaforma dispone di un meccanismo di sospensione automatica che potrebbe spiegare lo stato. Alle spalle c’era già stata, a giugno, una disputa sui pagamenti legata al perimetro di un bug con un cacciatore di taglie.
I ricercatori possono comunque continuare a inviare le proprie scoperte a Intel tramite il nuovo canale, semplicemente senza vedere un euro in cambio. Nel frattempo gli strumenti di AI, per quanto guardati con diffidenza, qualche risultato lo portano: OpenAI ha pagato ai ricercatori di Hacktron una ricompensa di circa 6.000 euro per una catena di exploit individuata usando un modello della rivale Anthropic. Lo stesso Torvalds, che in passato aveva liquidato l’AI come marketing, l’ha definita uno strumento chiaramente utile.
Fonte: TecnoAndroid
