【要約】AMD Gaslights Security Researcher, Changes Rules Retroactively [video] [Hacker_News] | Summary by TechDistill

> Source: Hacker_News

Execute Primary Source

// Discussion Topic

AMDがセキュリティ研究者に対し、ルールを遡及的に変更して報奨金を回避したとされる問題である。議論の焦点は以下の通りである。

・脆弱性の存在そのものではなく、それがバグバウンティの「スコープ（対象範囲）」に含まれるか否か。
・企業のバグバウンティプログラムにおける、ルールの解釈と運用の妥当性。
・セキュリティ報告に対するベンダー側のインセンティブ構造。

// Community Consensus

AMDの対応を巡り、企業のインセンティブ構造に関する批判的な視点が示されている。議論の傾向は以下の通りである。

・AMD側の主張：脆弱性は認めるが、プログラムの規定範囲外であるとして支払いを拒否している。
・コミュニティの指摘：巨大IT企業では、報酬支払額を抑えることが担当者の評価に直結する構造がある。
・結論：技術的な正誤よりも、プログラムの運用ルールと企業のKPIの対立が本質的な問題である。

// Alternative Solutions

特になし

// Technical Terms

Senior Engineer Insight

> ベンダーのバグバウンティ制度を過信してはならない。担当者のKPIが「支払額の抑制」に設定されている場合、スコープの解釈は恣意的になり得る。これはセキュリティの透明性を損なうリスクだ。我々が製品を採用する際は、ベンダーの公開情報だけでなく、独立したセキュリティ検証プロセスを重視すべきである。制度の隙間を突いたコスト削減は、長期的にはエコシステム全体の信頼を毀損する。