Что стало с HackerOne: от рая для багхантеров до продавца ИИ-услуг

Автор блога, начинавший как исследователь на HackerOne ещё в 2017 году и позже управлявший крупными багбаунти-программами, подводит печальный итог эволюции платформы. Его текст — не сухая аналитика, а прощание с эпохой.

Золотой век

HackerOne появилась в 2011 году, когда сама идея легально искать уязвимости была юридически рискованной: хакеров привлекали к суду за найденные и добросовестно раскрытые баги. Платформа создала безопасное пространство, где компании и исследователи встречались по обоюдному согласию, а за находки платили деньги, а не выписывали повестки.

Период 2017–2020 годов автор вспоминает с ностальгией. Живые хакерские мероприятия (Live Hacking Events) собирали лучших специалистов мира, каждое сопровождалось фирменными постерами, стикерами и челлендж-коинами. Именно там сформировалось сообщество, до этого разрозненное и закрытое.

Проблема прибыли

Перелом наступил около 2020–2021 годов, когда компания, десять лет жившая на венчурные деньги (в общей сложности 160 млн долларов), задалась вопросом, как зарабатывать. Инвесторы выбрали простой путь: больше клиентов. Хакера-основателя на посту CEO сменил корпоративный управленец, комиссию с выплат заменили на многолетние контракты со скидками, а во главу угла поставили продажи.

Последствия автор описывает как «гонку ко дну»: лучшие триажеры выгорали и уходили, качество отчётов падало, платформа технически стагнировала. Конкуренция не спасала — рынок багбаунти, по сути, олигополия из трёх игроков.

Эпоха ИИ и игра слов

Получив в руки мощнейший инструмент разработки, HackerOne, по мнению автора, растратила его впустую: вместо давно запрошенных функций компания выпустила ИИ-ассистента Hai — «обёртку поверх OpenAI». Постепенно платформа переобулась в модную категорию CTEM и стала продавать собственные ИИ-продукты для тестирования.

Кульминация — история с обучением моделей. В феврале 2026 года выяснилось, что обновлённые условия использования допускали обучение ИИ на отчётах исследователей. Основатели и руководство бросились успокаивать сообщество: «мы не обучаем и не дообучаем модели на данных исследователей». Но вскоре обнаружилось, что все отчёты прогоняются через ИИ, а система «запоминает» причины отклонений и корректирует поведение. Формально это не «обучение весов» — но для исследователя, чьи данные меняют работу автоматики, разница чисто терминологическая.

Автор проходится по фирменному «плейбуку» PR-контроля: признать опасения, успокоить, ничего не менять. Основателей, по его язвительному замечанию, выпускают «из подземелья» лишь для очередной порции damage control.

Куда дальше

Вывод пессимистичен: душу компании выпотрошили, идентичность потеряна. Совет хакерам — знать себе цену, ведь без них платформы не существуют. Совет компаниям — построить собственную площадку теперь дешевле годовой подписки. А рынок, по мнению автора, созрел для того, кто сделает то, чем HackerOne так и не стала.

Источник: Hacker News