Vercel、脆弱性報奨金制度を全面公開

Vercelは2026年9月24日、HackerOne上で運営してきた非公開とオープンソース向けの脆弱性報奨金制度を統合し、単一の公開プログラムとして提供を始めました。対象はVercelの全製品とオープンソースプロジェクトで、研究者の報告窓口を一本化し、幅広い参加を通じてプラットフォーム全体の安全性を高める狙いです。

同社は2022年にHackerOneを通じて非公開制度を開始し、同社のVIPプログラムで数千人の研究者を受け入れてきました。そこで対象範囲や審査手順を磨き、複数の公開制度も運営してきた経験が今回の全面公開の土台です。

背景には、AIの普及で有効・無効を問わず報告件数が急増したことがあります。一部企業が非公開化に動く一方、Vercelは公開報告からも有用な脆弱性が見つかり、より多様な研究者が発見に参加できると判断しました。

大量の報告に対応するため、セキュリティ部門はノイズを除くツールを構築し、受け付けから修正、検証までの工程を効率化しました。報告を一件ずつ内容で評価し、修正の迅速化と透明な対話を目指します。

研究者はHackerOneのVercelページから、再現手順を明記して報告します。既存のオープンソース向け制度への提出分は移し替える必要がなく、Vercelが引き続きすべて審査します。