Авито готов заплатить 1 млн рублей за обнаружение ИИ-уязвимостей
Технологическая платформа Авито расширила программу Bug Bounty на ИИ-сервисы и новые продукты, увеличив максимальную выплату за критические уязвимости до 1 миллиона рублей.
Задача участников программы – находить уязвимости в работе сервисов, которые могут представлять риск для компании или пользователей. Например, ошибки, позволяющие получить доступ к чужим данным, украсть платежную информацию или нарушить работу сервисов платформы. Для этого багхантеры тестируют мобильные и веб-приложения компании, включая сервисы на поддоменах avito.ru.
В программу включили ИИ-решения, такие как будущие ассистенты «Ави» и «Ави Pro», а также HRMOST (платформы чат-ботов для найма), Автохаб (автоматизация для автодилеров) и Haraba (оценка автомобилей). Максимальная выплата за уязвимости в этих сервисах – 500 тысяч рублей.
«Искусственный интеллект стал одним из ключевых драйверов развития Авито. Когда технология переходит из категории экспериментов в основу платформы, безопасность нужно закладывать с первых шагов. Bug Bounty для нас – это постоянный элемент экосистемы безопасности, который дополняет внутренние процессы. Внешние исследователи видят систему под другим углом и находят то, что может ускользнуть от команды разработки и безопасности. Для ИИ-сервисов это особенно важно, поскольку такие системы формируют новые классы рисков, и индустрия только начинает выстраивать практики их системной проверки»,
— подчеркнула, руководитель продуктовой безопасности Авито Екатерина Пухарева.
Авито тестирует сервисы не первый год. В 2025 году компания получила 248 отчетов об уязвимостях (рост в 2,8 раза), приняла 101 (в 4,4 раза больше), выплатила 5 миллиона рублей (в 5,6 раза).
Компании только начинают выводить ИИ-компоненты в программы Bug Bounty. По данным BI.ZONE Bug Bounty, выплаты за ИИ-уязвимости пока на 50% ниже традиционных.
«Расширение программы "Авито" на платформе BI.ZONE Bug Bounty – пример зрелого системного подхода к системе безопасности ресурсов. Для эффективного взаимодействия с багхантерами мы рекомендуем компаниям поэтапно увеличивать скоуп и выплаты. Тогда багбаунти станет полноценным элементом управления киберрисками»,
— отметил руководитель продукта BI.ZONE Bug Bounty Андрей Лёвкин.
Он также добавил, что чем больше ИИ-компонентов, тем выше интерес к этому направлению со стороны исследователей.
Александр Фёдоров • Вечерние ведомости