Microsoft pagó un récord de más de 20 millones de dólares a 562 investigadores por reportar fallos de seguridad entre 2025 y 2026. Este incremento se debe a la expansión de su programa de recompensas y al uso creciente de la IA para descubrir vulnerabilidades. No obstante, la empresa también enfrenta conflictos con investigadores externos que han publicado exploits públicamente debido a disputas con la compañía.





Microsoft anunció esta semana que entre el 1 de julio de 2025 y el 30 de junio de 2026, la compañía pagó más de 20 millones de dólares en recompensas por errores (bug bounties) a 562 investigadores.

El total fue un récord para Redmond, al igual que el número de personas que enviaron informes de errores, a pesar de tener que navegar por un proceso de envío a veces frustrante.

A modo de comparación, el programa del año anterior, que ya había establecido un nuevo récord para la empresa, pagó a 344 investigadores alrededor de 17 millones de dólares.

Se podría argumentar que las cifras no representan una lucha justa. Microsoft amplió su programa de recompensas en diciembre de 2025, cambiando los informes a lo que denomina "En Alcance por Defecto".

Bajo esta política, las vulnerabilidades críticas pasaron a ser elegibles para recompensas si tenían un impacto directo y demostrable en los servicios en línea de Microsoft, incluso cuando el código defectuoso pertenecía a un tercero o a un proyecto de código abierto.

En resumen, Microsoft abrió la puerta a pagar una cantidad mucho mayor cada año.

Microsoft introdujo la política aproximadamente a mitad del año de recompensas y afirmó que esto supuso 800.000 dólares en recompensas que anteriormente no habrían estado disponibles.

Otros 2,3 millones de dólares fueron otorgados a través de Zero Day Quest, el desafío de investigación de seguridad y evento de hacking en vivo de Microsoft.

El aumento del número de informes este año también puede explicarse parcialmente por la notable afluencia de envíos durante la segunda mitad del año, según Microsoft, lo cual la empresa atribuyó en parte al "creciente uso de la IA para apoyar la investigación de seguridad".

Microsoft también ha atribuido la creciente saturación de sus Patch Tuesdays en parte a su propio uso de modelos de IA avanzados para el descubrimiento de vulnerabilidades.

Las 622 vulnerabilidades de julio superaron el récord anterior de 206, establecido solo un mes antes. Junio ya había superado las 165 de abril, que en aquel momento era el segundo Patch Tuesday más grande de Microsoft, y las 137 de mayo.

Días antes del récord de julio, el vicepresidente de Windows + Devices de Microsoft advirtió a los clientes que esperaran más de lo mismo ahora que la IA juega un papel importante en el descubrimiento de vulnerabilidades, tanto dentro de Microsoft como por parte de cazadores de recompensas externos.

Sin embargo, el vicepresidente ejecutivo de Windows + Devices, Pavan Davuluri, se apresuró a señalar que la empresa ofrece a los clientes un conjunto de herramientas de parcheo automatizadas para aliviar la carga, pero no mencionó nada sobre herramientas para arreglar las máquinas que las actualizaciones de Windows suelen estropear, como los Dell basados en Intel.

Además de navegar por la rápida "IA-fización" de la investigación de vulnerabilidades y la avalancha de informes que trajo consigo, Microsoft ha enfrentado posiblemente un problema de errores mayor este año en medio de especulaciones no verificadas de que un investigador prolífico podría ser un antiguo empleado de Microsoft.

Utilizando el nombre NightmareEclipse, un investigador con un conocimiento profundo del software de Microsoft y un desdén igualmente evidente por la empresa pasó el segundo trimestre lanzando sofisticados zero-days a voluntad.

NightmareEclipse afirma que los intentos de informar vulnerabilidades a Microsoft terminaron con insultos, humillaciones y dejándolo sin hogar. Posteriormente comenzó a publicar zero-days fuera de la divulgación coordinada, a menudo poco después del Patch Tuesday, diciendo que quería causar el máximo dolor a Microsoft.

Estos variaron desde fallos graves de escalada de privilegios que permitían el acceso al SYSTEM hasta el bypass de BitLocker, y el enfoque pareció inspirar al menos a otros dos investigadores agraviados a simplemente lanzar el código de explotación fuera de la divulgación responsable.

Microsoft respondió amenazando con involucrar a su Unidad de Delitos Digitales en la disputa con NightmareEclipse, sugiriendo que estaba dispuesta a recurrir a las fuerzas del orden, aunque esto salió tan mal como era de esperar.

Fuente:
TheRegister