bug bounty

angolul: bug bounty program

alapelterjedt

Olyan program, amelyben egy cég vagy szervezet pénzjutalmat fizet külső szakértőknek, ha megtalálják és felelősen jelentik a rendszerei biztonsági hibáit.

Érthetően

Képzeld el, hogy egy lakatgyártó kiteszi a legújabb zárját a főtérre, és azt mondja: aki ki tudja nyitni kulcs nélkül, és megmutatja, hogyan csinálta, az pénzt kap. A bug bounty ugyanez szoftverekkel: a cég nyilvánosan meghirdeti, hogy fizet a biztonsági résekért, ha a megtalálójuk neki szól, nem pedig a bűnözőknek.

A cégnek ez azért éri meg, mert a saját tesztelői nem találnak meg mindent, sok ezer külső szem viszont olyasmit is észrevesz, ami fölött ők átsiklottak. Ráadásul csak a tényleges találatért fizet, nem a keresgélés idejéért. A kutatónak pedig legális és megbecsült út arra, hogy a tudását pénzre váltsa.

Az AI-korszakban a fogalom kibővült. A nagy modellfejlesztők már nemcsak a klasszikus programhibákért fizetnek, hanem azért is, ha valaki rá tudja venni a modellt vagy egy AI-agentet arra, amit nem lenne szabad megtennie. Ilyen például, ha adatot szivárogtat ki, vagy megkerüli a biztonsági korlátait. A szabályok cégenként eltérnek: egy egyszerű, egyszeri kijátszás (jailbreak) sok programban nem ér jutalmat, csak a súlyos vagy általánosan működő módszer.

Hogyan működik

A cég közzéteszi a szabályokat: mely rendszerek vizsgálhatók, milyen módszerek tilosak, és mekkora jutalom jár az egyes hibatípusokért.
A kutató a szabályok keretein belül hibát keres, és ha talál, részletes, megismételhető leírást küld róla, jellemzően egy közvetítő platformon keresztül (ilyen például a HackerOne vagy a Bugcrowd).
A cég biztonsági csapata ellenőrzi a bejelentést: valódi-e a hiba, mennyire súlyos, és nem jelentette-e már más korábban.
Ha a hiba érvényes, a cég kijavítja, a kutató pedig megkapja a súlyossággal arányos jutalmat. Ez kisebb hibáknál néhány tízezer forintnak megfelelő összeg, a legsúlyosabbaknál a legnagyobb cégeknél akár több százmillió forintnyi is lehet.
A javítás után a hiba részleteit gyakran közösen nyilvánosságra hozzák, hogy mások is tanuljanak belőle.

Példa a mindennapokból

A telefonod banki alkalmazása frissítést kér, a leírásban csak annyi áll: „biztonsági javítások”. Előfordulhat, hogy a hibát egy független kutató találta meg, aki a bank vagy az alkalmazás fejlesztőjének hibavadász programjában jelentette, és jutalmat kapott érte, mielőtt bárki visszaélhetett volna vele.

Kit érint

mindenkiAz általad használt alkalmazások és AI-szolgáltatások részben azért biztonságosabbak, mert külső kutatók a csalók előtt megtalálják bennük a hibákat.

fejlesztőA kódodra vagy agentedre érkezhet bejelentés, amelyet gyorsan értékelned és javítanod kell, és ha értesz a biztonsághoz, magad is kereshetsz vele. → Kód

vállalkozó, vezetőViszonylag olcsó módja a biztonság erősítésének, de csak akkor működik, ha van kapacitásod a bejelentések feldolgozására és a hibák kijavítására.

álláskereső, pályakezdőA sikeres bejelentések nyilvános, ellenőrizhető referenciát adnak, amellyel be lehet lépni a kiberbiztonsági szakmába. → Munka és HR

Gyakori félreértés

TévhitHa egy cégnek van bug bounty programja, akkor bármelyik rendszerét szabadon feltörheted, és még fizetnek is érte.

ValójábanCsak a meghirdetett rendszerek vizsgálhatók, a kiírt szabályok szerint. Aki ezeken túllép, vagy adatot visz el, az ugyanúgy bűncselekményt követhet el, mint bármely más támadó.

Korlátok és kockázatok

A program nem helyettesíti a cég saját biztonsági munkáját: semmi sem garantálja, hogy a kutatók minden rendszert megnéznek és minden hibát megtalálnak.
Ha olyan cég rendszerét vizsgálod, amelynek nincs ilyen programja, jogi kockázatot vállalsz: Magyarországon az engedély nélküli behatolás bűncselekménynek számíthat, és a jó szándék önmagában nem mentesít.
A jutalom bizonytalan: ha más már jelentette a hibát, vagy a cég nem tartja elég súlyosnak, a többnapos munkáért semmit sem kapsz.
Az AI-val tömegesen gyártott, hamis vagy értéktelen bejelentések elárasztják a programokat, ami lassítja a valódi hibák feldolgozását.

Hasonló, de nem ugyanaz

behatolásteszt – A behatolástesztet megbízott szakemberek végzik előre rögzített díjért és határidőre. A bug bounty viszont folyamatos, sok független kutató előtt áll nyitva (bár vannak meghívásos programok is), és csak a találatért fizet.
red teaming – A red teaming szervezett, célzott támadásszimuláció egy kijelölt csapattal, míg a bug bounty folyamatos, nyílt felhívás független kutatóknak.
felelős hibabejelentés – A felelős hibabejelentés csak azt szabályozza, hogyan lehet biztonságosan szólni a hibáról, pénzjutalom viszont nem feltétlenül jár érte.

Kapcsolódó fogalmak

Tágabb

kiberbiztonság, AI-biztonság, sérülékenységkezelés

Szűkebb

AI bug bounty, modellbiztonsági hibavadász program

Rokon

red teaming, behatolásteszt, etikus hekker, prompt injection, jailbreak

Röviden a története

Az első, „bug bounty” néven meghirdetett programot a Netscape indította 1995-ben a Navigator böngészőjéhez. A 2010-es években a nagy technológiai cégek és a közvetítő platformok tették bevett gyakorlattá, a 2020-as évek közepére pedig az AI-fejlesztők is átvették.

Hol tart most

2026 végén a nagy technológiai cégeknél és egyre több állami szervezetnél bevett gyakorlat, és a vezető AI-fejlesztők külön programot tartanak fenn a modellek és agentek hibáira. Új fejlemény, hogy a hibákat már AI-agentek is keresik, ami egyszerre növeli a találatok és a hamis bejelentések számát.

Állapot: 2026. november

A hírekben

4 Agent Age-sztoriban fordul elő; a görbe a hírmagazin heti előfordulása.

A Google felfüggesztette nyílt forráskódú hibajutalmi programját az AI-jelentések áradata miatt2026. okt. 5. · Kód
A Google befagyasztotta nyílt forráskódú hibavadászprogramját az érvénytelen AI-beküldések miatt2026. okt. 3. · Kód
LLM-mel írt PhantomRaven kártevő npm- és GitHub-hitelesítőket lop2026. szept. 15. · Kód
Nyílt forrású projektek tiltják vagy korlátozzák az AI-kódot: OpenJDK, Rust, curl2026. aug. 10. · Kód

Más nevei

bug bounty · bug bounty program · hibavadász program · hibavadászat · hibakereső jutalomprogram · sérülékenységi jutalomprogram · vulnerability reward program · VRP

Források

Wikipedia: Bug bounty program

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.