huntr

huntrとは

huntrは、AIと機械学習だけを対象にしたバグバウンティプラットフォームだ。狙うのはウェブサイトやアプリではなく、AIのコードが動くライブラリと、モデルを保存するファイル形式である。細工したモデルファイルは、読み込んだ瞬間にコードを実行する。プラットフォームはその一帯をまとめて対象とみなす。

出発点はリポジトリ単位の賞金だった。PyTorch、Transformers、Keras、ONNX、scikit-learnといったプロジェクトが金額つきでボードに並び、報告はトリアージを通ってからメンテナの修正に入る。修正は公開アドバイザリとして残り、多くの研究者はそこで実績を作る。

新しい柱がチャレンジだ。その場のために作られたAIアシスタントやエージェントを相手にする、期限付きの競技である。保険金アシスタントに隠されたトークンを引き出す、3体のエージェントに守るはずのツールを明かさせる、といった課題が出る。1回の賞金プールは最高1万5000ドルで、期限内に目標を達成した参加者をリーダーボードが並べる。

この設計から2つの帰結が出る。発見は自己申告ではなく評価される。本当だと認められて初めて報酬が動く。そして競争である。人気のチャレンジには人が集まり、重複した報告には1セントも入らない。Pythonのソースを読み、プロンプトインジェクションを理解している人ほど回収率が高い。

はじめかた

1. huntr.comでメールアドレスかGitHubアカウントを使って登録し、行動規範と参加規約に同意する。
2. 対象を選ぶ。賞金ボードには公開リポジトリと報酬レンジが並び、チャレンジのページには開催中の競技とルール、締切が表示される。
3. 報告するバージョンそのもので不具合を再現し、最小限の検証コードを残す。ライブラリの不具合なら、影響する関数と入力がそこへ届く経路を記録する。
4. 手順、証拠、影響範囲を添えて報告を出す。トリアージが確認し、メンテナが修正を出し、アドバイザリが自分の名前で公開される。
5. チャレンジでは締切前に達成の証拠を提出し、リーダーボードで順位と報酬を確認する。