מה קרה ל-HackerOne: באג באונטי, מיון AI וקהילה שהתערערה

פלטפורמה שנבנתה לתקופה אחרת

את HackerOne הקימו שני האקרים אתיים, ג'וברט אבמה ומיכיל פרינס. ב-2011 הם הציבו לעצמם מטרה למצוא פרצות אבטחה במאה מחברות הטכנולוגיה הגדולות, והצליחו: באגים נמצאו בגוגל, פייסבוק, אפל, מיקרוסופט וטוויטר. באותה תקופה מחקר אבטחה נשא סיכון משפטי ממשי — חוקרים הועמדו לדין בגלל חשיפת פגיעויות. הפלטפורמה, שהושקה ב-2012, יצרה מרחב בטוח עם הסכמה מראש ותשלום על ממצאים, והפכה למודל המוביל של תוכניות באג באונטי.

מימי הזוהר ועד לחוזים שנתיים

בין 2017 ל-2020 קיימה החברה אירועי Live Hacking Events מדי כמה חודשים, שאליהם הובאו החוקרים הטובים בעולם ליעד אחד לפרק של יום עד שלושה. באותו חלון קיבלו תוכניות יותר דיווחים קריטיים מאשר בכל שאר השנה. החברה גם בנתה קהילה — מפגשים, סדנאות, תחרויות CTF ומועדונים אזוריים עם שגרירים מקומיים. לפי הכותב, המומנטום הזה דעך בהמשך.

גם העסק השתנה. בין 2014 ל-2022 גייסה HackerOne סך של 160 מיליון דולר, בערך סבב כל שנתיים. בסוף 2024 הוחלף המנכ"ל מרטן מיקוס, שכיהן כמעט עשור, בקרה ספראג, לשעבר סמנכ"לית מוצר ב-F5. המודל עבר מאחוז מהפרסים למבנה של תעריפים לפי נפח, חוזים שנתיים והסכמים רב-שנתיים, עם הנחות חידוש גדולות כדי לשמר לקוחות.

מחלוקת ה-AI

בפברואר 2026 שם החוקר zseano לב לגל עזיבות בחברה ושאל לסיבה. מהדיון עלו עדכונים בתנאי השירות שאפשרו שימוש בדיווחים שהוגשו ב-HackerOne לאימון מודלים. המייסד-שותף והמנכ"ל הטכני אלכס רייס הצהיר שהחברה אינה מאמנת, מכווננת או משפרת מודלים גנרטיביים על נתוני חוקרים, והמנכ"לית קרה ספראג פרסמה הודעה דומה.

כחודשיים לאחר מכן הבחינו חוקרים בהערות מחשבון בשם hackerone-agent על הדיווחים שלהם. מנהל מוצר בחברה הסביר כי מדובר בסקירה מקדמית של AI: המערכת מנתחת את כל הדיווחים ומחליטה אילו מהם אפשר להעביר ישירות לצוות האימות, וסיבות הדחייה נשמרות כדי לשפר את שיקול הדעת של הסוכן בהמשך. כפי שטוען הכותב, ההבחנה הזו כמעט אינה משנה דבר עבור החוקרים. בבלוג החברה נכתב כי Hai מבצע כעת סיווג ראשוני, סינון כפילויות ואימות של דיווחים יחד עם האנליסטים.

ביוני חזרה התבנית סביב המוצר החדש HackerOne Continuous Testing: נוסח שלפיו הבדיקה "מחודדת" בעזרת 12 שנות נתוני פגיעויות של החברה וממצאים קודמים של הלקוח — נערך לאחר שאלות החוקרים. המייסד-שותף מיכיל פרינס הסביר שהפסקה עסקה בהקשר של טווח הבדיקה ולא באיתור פרצות חדשות מדיווחי חוקרים, ותיאר חזון ארוך טווח שבו "חוקרים מובילים את החזית והסוכנים מספקים את הסקייל".

למה זה חשוב

מסקנת הכותב חדה: החברה איבדה את הזהות שאיתה החלה ב-2012. לחוקרים הוא ממליץ לדעת את שוויים — פלטפורמות באג באונטי לא יכולות להתקיים בלי האקרים; וללקוחות הוא מזכיר שתוכנית פנימית עולה היום פחות משנה אחת בפלטפורמה מסחרית.