PlayStationのバグ報奨金で5万ドル　報告者「これでGTA6が買える」

「これで少なくとも『GTA6』は買えると思う」。

10月14日の昼、セキュリティ研究者のJordy氏（HackerOneでの名前は2tonejordy）がXにこう書き込んだ。添えられていたのは、脆弱性報告の受付サービス「HackerOne」の画面を切り取った1枚。PlayStationのアイコンの横に「2tonejordyが報告したバグが解決済みになった」とあり、右端には$50,000と出ている。

日本円にすると約790万円。発売を控えた大作を1本買うどころか、本体ごと何十台もそろえられる金額だね。

支払いのもとになったのは、ソニー・インタラクティブエンタテインメント（SIE）がHackerOneと組んで運営している「PlayStation Bug Bounty Program」。PlayStationのハードやネットワークに潜むセキュリティ上の欠陥を外部の研究者に探してもらい、見つけた人へ報奨金を払う仕組みで、2020年6月24日に誰でも参加できる形で始まった（PlayStation Blogの告知）。

立ち上げのときの対象はPS4とPlayStation Network。告知には、PS4の深刻度「クリティカル」の脆弱性には5万ドルからの報奨金を出すと書かれていた。つまり今回の5万ドルは、この制度のなかでも最上位の評価にあたる金額になる。いま何が対象になっているかは、HackerOneのPlayStationのプログラムページで公開されているにゃ。

ただ、どんな欠陥だったのかは分かっていない。公開されたのは「報告が解決済みになった」ことと金額だけで、対象の機種も中身も伏せられている。修正が済む前に詳細が広まると悪用される恐れがあるから、この手の制度では珍しいことではないんだよ。

TheFlow氏がPS5撤退、LLM報告に揺れる

Jordy氏の名前は、ひと月前にもPS5の改造界隈で話題になっていた。

発端は9月16日の朝。PS5でLinuxを動かす取り組みを続けてきた著名なハッカー、TheFlow（Andy Nguyen）氏が、PS5での活動をやめると宣言したんだ。理由として挙げたのは、自分が先に見つけていたハイパーバイザー（本体のセキュリティを支える仕組み）の欠陥を、LLMを使う人たちが見つけてソニーに報告してしまったこと。いまの界隈は「LLMを使ってハックを書く初心者の集まり」になった、とまで書いている。

同じ日の昼前、Jordy氏が自分のことだと名乗り出た。投稿によると、自分がHackerOneに報告したハイパーバイザーのバグはTheFlow氏のものと同じだったという。TheFlow氏からは報告を控えるよう頼まれていた。ところが数時間後にほかの人もAIを使ってそのバグを見つけたため、結局報告に踏み切ったという説明だね。

ハイパーバイザーの欠陥がふさがれれば、Linuxのように本体の制限を外して動かす遊び方は、新しいシステムソフトウェアでは使えなくなる。TheFlow氏が「何か月もの作業が水の泡」と嘆いたのも、そのためだね。

いちばん気になるのはここだけど、答えは出ていない。9月にJordy氏が報告したのはPS5のハイパーバイザーの欠陥で、今回の支払いはそれから約1か月後。時期だけ見れば同じ件への報奨金にも思える。ただ、HackerOneの画面にも本人の投稿にも、どのバグへの支払いなのかは書かれていないんだ。

確かなのは、PlayStationの報奨金制度で最上位の金額が実際に支払われたこと。そして、本体の改造を楽しむ人たちにとっての「穴」が、メーカーにとってはふさぐべき欠陥として値段が付いたことにゃ。