Anthropicのバグ報奨金とは｜上限1万ドル・対象・企業の対応3つ【2026年10月】

2026年5月9日

このトピックの全体像企業のAI導入ガイド｜進め方・研修・体制づくりの全体像導入の進め方の記事

公開日: 2026年5月9日最終更新: 2026年10月8日

執筆・編集：株式会社Nexa 編集部（下書きと機械検査はAI、公開前に人が確認）／約20分で読めます。公式ドキュメント・公式発表などの一次情報を確認したうえで執筆・更新しています。AIツールの仕様や料金は変わることがあるため、導入判断の前に各公式サイトの最新情報もご確認ください。記事の作り方と検査の方針

Anthropicのバグ報奨金（bug bounty）は、Claude.ai・API・Claude Codeなどの脆弱性を報告した人に100〜1万ドルを支払う制度です。2026年5月にHackerOneで一般公開され、アカウントがあれば誰でも報告できます。

要点1: 報奨金は深刻度と資産の区分で決まる。中核資産の重大な脆弱性で7,500〜1万ドル、それ以外は100〜5,000ドル
要点2: 対象はインフラとコードの脆弱性。ジェイルブレイクなどモデルの回答内容は対象外で、報告先が別に用意されている
要点3: 企業側は、脆弱性報告の受付窓口、初動の担当、モデル更新時の再評価の3つを先に決めておく

対象: 生成AIを業務で使っている企業の経営層・DX推進担当・情報システム担当

今日やること: 自社のAI利用について、脆弱性の報告を受ける連絡先と、最初に対応する担当者を1枚にまとめる

確認日: 2026年10月8日（HackerOneのAnthropic公式プログラムページ、Anthropic公式サイトを参照）

この記事の著者

株式会社Nexa 代表取締役川島陸

一橋大学経済学部卒業後、フォーティエンスコンサルティング株式会社（旧株式会社クニエ）にて法人向けAI導入支援等を経験。独立後、AI系メディア運営やDify/n8nの導入支援を経て、株式会社Nexaを創業。法人向けAI研修・AI導入支援・AI関連メディア運営を手掛ける。

詳しく見る AI顧問の無料相談

Anthropicのバグ報奨金は、2026年5月から誰でも参加できる制度になりました。報奨金の上限は1万ドルで、対象はClaude.ai、API、Claude Codeなどの脆弱性です。一方で、Claudeから不適切な回答を引き出す手法（ジェイルブレイク）はこの制度の対象外で、報告先が分かれています。

この記事では、報奨金の金額、対象範囲、報告先を公式ページの記載に沿って整理します。後半では、生成AIを業務で使う企業が整えておく対応を、受付窓口・初動の担当・モデル更新時の再評価の3つに分けて説明します。金額と件数は、2026年10月8日にHackerOneのプログラムページとAnthropic公式サイトを開いて確認した内容です。

Anthropicのバグ報奨金とは｜制度の早見表

バグ報奨金（バグバウンティ）は、製品やサービスの脆弱性を見つけた外部の研究者に、企業が報奨金を支払う仕組みです。Anthropicは、脆弱性報告の仲介サービスであるHackerOne上でプログラムを運用しています。

Anthropicは日本時間2026年5月8日、公式Xアカウントで「セキュリティのバグ報奨金プログラムをHackerOneで公開した」と発表しました。それまではセキュリティ研究者のコミュニティ内で非公開に運用しており、その報告が製品の強化に役立ったと説明しています。HackerOneのプログラムページにも「Bounty launched in May 2026」と表示されています。

項目	内容（2026年10月8日時点）
運用場所	HackerOne（hackerone.com/anthropic）
一般公開	2026年5月（それ以前は非公開で運用）
参加条件	HackerOneのアカウントがあれば報告できる
報奨金	100〜1万ドル（深刻度と資産の区分で決まる）
主な対象	Claude.ai、Claude Console、API・SDK、公式アプリ、Claude Code、Claude in Chromeなど14資産
対象外	ジェイルブレイクなどモデルの回答内容、DoS攻撃、ソーシャルエンジニアリングなど
受領連絡	3営業日以内（ポリシーの記載）
支払総額	1,084,685ドル（直近90日は287,450ドル）
解決済みの報告	479件

出典: Anthropic Bug Bounty Program（HackerOne）、Anthropic公式アカウントの投稿（X）

報奨金の金額｜深刻度と資産の区分で100〜1万ドル

報奨金は、脆弱性の深刻度（4段階）と、対象の資産が中核かどうか（2区分）の組み合わせで決まります。深刻度はCVSS（共通脆弱性評価システム）に基づいて判定されます。表の金額は目安で、最終的な金額はAnthropicの裁量で決まると明記されています。

資産の区分	低（Low）	中（Medium）	高（High）	重大（Critical）
中核資産（Core Assets）	250〜750ドル	1,000〜2,500ドル	3,000〜5,000ドル	7,500〜1万ドル
それ以外（Non-Core Assets）	100〜250ドル	250〜750ドル	1,000〜2,500ドル	3,000〜5,000ドル

実際に支払われた金額の傾向も、プログラムページで公開されています。

深刻度	直近90日の平均報奨金	解決済みの報告に占める割合
低（Low）	187ドル	19.19%
中（Medium）	893ドル	40.41%
高（High）	3,364ドル	38.83%
重大（Critical）	7,900ドル	1.58%

解決済みの報告の約8割は「中」と「高」です。上限の1万ドルに届く「重大」は全体の1.58%で、多くの報告は数百ドルから数千ドルの範囲に収まっています。プログラム全体の平均的な報奨金は750〜1,400ドルと表示されています。

金額に関わる主なルール

同じ脆弱性が重複して報告された場合、報奨金の対象は最初に届いた報告だけ
1つの原因から生じた複数の脆弱性は、まとめて1件として扱う
セキュリティ上のリスクをドキュメントに追記する結果になった報告は、100ドル（Anthropicの裁量）
リサーチプレビューやベータ版として公開された機能は、公開から1か月間は「それ以外（Non-Core）」として扱う
報告から1か月以内の支払いを保証する「Fast Payment」に対応

出典: Anthropic Bug Bounty Program（HackerOne）

対象範囲と対象外｜Claude.ai・API・Claude Codeなど14資産

対象は14資産で、中核資産が6つ、それ以外が8つです。一覧に無い資産でも、Anthropicが所有するものであれば影響に応じて報奨金の対象になります（Open Scope）。

区分	資産	解決済みの報告数
中核	Claude Code	192件（40%）
中核	claude.ai	77件（16%）
中核	公式アプリ（iOS・Android・デスクトップ）	34件（7%）
中核	API・SDK	30件（6%）
中核	api.anthropic.com	7件
中核	console.anthropic.com	3件
それ以外	github.com/anthropics（公開リポジトリ）	33件（7%）
それ以外	インフラ・社内向けアプリとサービス	30件（6%）
それ以外	Claude in Chrome	6件
それ以外	Claude Desktopの拡張機能・Claude.aiのMCPサーバー（Anthropic開発分）	7件
それ以外	流出した従業員のAPIキー	2件
それ以外	anthropic.atlassian.com	2件
それ以外	docs.anthropic.com	1件
それ以外	support.anthropic.com	0件

解決済みの報告の40%はClaude Codeに関するものです。Claude Codeで対象になるのは、コマンド実行やファイル書き込みの許可確認を回避できる問題、許可確認の画面に実際と違う内容を表示させる問題、利用者に見えない形でコマンドやツールを実行できる問題です。

対象外とされている主なもの

ジェイルブレイク、有害な内容の生成、ハルシネーションなど、モデルの回答内容に関する問題
DoS攻撃、ソーシャルエンジニアリング（フィッシングを含む）、物理的な侵入、内部関係者が関わる侵害
他人のアカウントの乗っ取り、認証のないエンドポイントへの総当たり
実証コードのない、一般的なセキュリティ設定やTLS設定の指摘
修正プログラムが無い、または公開から30日未満の、広く知られたゼロデイ脆弱性
自動スキャナーの出力やAIが書いただけの、検証されていない報告
第三者が開発したコネクタやMCPサーバー、オープンソースのMCP本体のコード

Claude Codeには個別の注意書きもあります。編集を自動で承認するモードでは、Claude Codeが作業フォルダ内のすべてのファイルを変更できます。その結果として別のソフトウェアがファイルを実行しても、モードを有効にした利用者の責任とされ、脆弱性としては扱われません。業務で使う場合は、このモードを使ってよい場面を社内で決めておく必要があります。

出典: Anthropic Bug Bounty Program｜Scope、Updates（HackerOne）

Claudeの脆弱性を見つけたときの報告先｜内容別の4つの窓口

報告先は、見つけた問題の種類で分かれます。製品やインフラの脆弱性はバグ報奨金プログラム、モデルの回答内容に関する問題は別の窓口です。

見つけた問題	報告先	報奨金
Claude.ai、API、Claude Codeなどの製品・インフラの脆弱性	HackerOneのAnthropicプログラム	100〜1万ドル
Fableモデルファミリーのジェイルブレイク（サイバー攻撃の支援につながるもの）	HackerOneのAnthropic Cyber Jailbreak	なし（脆弱性開示プログラム）
上記以外のモデルの安全性の問題、ジェイルブレイク	modelbugbounty@anthropic.com へメール	記載なし
安全対策（Constitutional Classifiers）を突破する汎用的なジェイルブレイク	Model Safety Bug Bounty Program（申請制・秘密保持契約が必要）	1件あたり最大35,000ドル

Anthropic Cyber Jailbreakは、2026年6月30日の公式発表で開設が告知された窓口です。対象はClaude Fable 5.1だけで、ほかのモデルは含みません。ページには「これは開示プログラムであり、バグ報奨金ではない。金銭的な報酬は提供しない」と明記されています。報告は、攻撃者にとっての能力の上がり幅、使える範囲の広さ、攻撃に転用する手間、手法の見つけやすさの4つの基準で評価されます。

モデルの安全性の問題を送るメールアドレスは、ページによって記載が異なります。HackerOneのポリシー（2026年7月8日更新）はmodelbugbounty@anthropic.com、Anthropic公式サイトの責任ある開示ポリシー（2025年2月14日更新）はusersafety@anthropic.comです。報告する前に、両方のページで最新の記載を確認してください。

報告に含める内容

責任ある開示ポリシーは、報告に次の内容を含めるよう求めています。自社で報告を受ける側になるときの、受付フォームの項目としても使えます。

脆弱性の種類と深刻度
技術的な詳細と概要
再現手順
脆弱性がある場所（URLなど）
実証用のスクリプト、画面の写真、録画
想定される影響
推奨する修正方法

出典: Anthropic Bug Bounty Program、Anthropic Cyber Jailbreak（HackerOne）、Responsible Disclosure Policy、Model Safety Bug Bounty Program、Redeploying Fable 5（Anthropic）

招待制から一般公開までの経緯

一般公開は突然の動きではありません。Anthropicは非公開のプログラムを運用しながら対象を広げ、モデルの安全性については招待制の検証を別に重ねてきました。

時期	出来事	出典
2024年1月	HackerOneのプログラムで、モデルの安全性を対象に追加すると告知	HackerOne Updates
2024年5月	iOSアプリと「インフラ・社内向けアプリとサービス」を対象に追加	HackerOne Updates
2024年8月	モデルの安全性のバグ報奨金を拡張。招待制で、汎用的なジェイルブレイクに最大15,000ドル	Anthropic公式ニュース
2024年11月	MCP（Model Context Protocol）の公開に合わせ、関連する報告を対象に追加	HackerOne Updates
2025年5月	Constitutional Classifiersの検証として新しい施策を開始。招待制で、最大25,000ドル	Anthropic公式ニュース
2026年2月	MCPのリポジトリを報奨金の対象から外す（MCPがLinux Foundationの管理に移ったため）。自社製品内のMCP実装は引き続き対象	HackerOne Updates
2026年5月	セキュリティのバグ報奨金プログラムを一般公開	Anthropic公式アカウントの投稿
2026年6〜7月	Fable 5のサイバー分野のジェイルブレイクを受け付ける窓口の開設を告知。HackerOneのページの表示は「2026年7月開始」	Anthropic公式ニュース

流れを見ると、製品の脆弱性は「公開して広く報告を集める」方向へ、モデルの安全性は「申請制や専用窓口で、評価基準を決めて受け付ける」方向へ分かれています。Anthropicは2026年6月30日の発表で、ジェイルブレイクの深刻度を評価する業界共通の枠組みを、Amazon、Microsoft、Googleなどと作り始めたことも明らかにしています。

OpenAIのバグ報奨金との比較

OpenAIは2023年4月11日に、Bugcrowd上でバグ報奨金プログラムを始めました。開始時の公式発表では、報奨金は200ドルから20,000ドルとされています。2026年10月8日時点のBugcrowdのプログラムページでは、報奨金表に最大100,000ドルの表示があります。

項目	Anthropic	OpenAI
運用場所	HackerOne	Bugcrowd
一般公開	2026年5月	2023年4月
報奨金の表示	100〜1万ドル	開始時は200〜20,000ドル。現在の報奨金表は最大100,000ドルの表示
公開されている実績	解決済み479件、支払総額1,084,685ドル	報奨金を支払った脆弱性652件、直近3か月の平均支払額1,089.78ドル
モデルの回答内容の問題	対象外（別の窓口で受付）	対象外（セキュリティ上の影響を直接確認できる場合を除く）

金額の上限は違いますが、両社とも「製品とインフラの脆弱性」と「モデルの回答内容の問題」を分けて扱っている点は共通です。AIサービスの安全性を確認するときは、この2つを別々に確認する必要があります。

出典: OpenAIのバグバウンティ・プログラムのお知らせ（OpenAI）、Bug Bounty: OpenAI（Bugcrowd）

AI導入に関するお困りごとは、株式会社NexaのAI顧問がサポートします。「何から始めればいいか分からない」という段階からご相談いただけます。

AI顧問の無料相談はこちら →

＼ AI活用の「次の一手」を一緒に考えませんか／

AI顧問の無料相談はこちら

企業が整える3つのAIセキュリティ対応

AIベンダーが外部からの報告を受け付けるようになると、脆弱性が見つかって修正される回数は増えます。利用する企業の側も、報告や修正の知らせを受け止める体制が必要です。自社でAIチャットボットやAIを組み込んだサービスを公開している場合は、自社が報告を受ける立場にもなります。

先に決めておくのは次の3つです。

対応	決めること	成果物
1. 受付窓口	外部と社内から、脆弱性の報告を受ける連絡先	連絡先、受付フォームの項目、公開する方針の文面
2. 初動の担当	受領、判定、判断をそれぞれ誰が担当するか	担当者と代理の一覧、対応期限
3. モデル更新時の再評価	モデルや設定が変わったときに確認する項目と時期	確認項目の一覧、実施の記録

対応1：脆弱性報告の受付窓口を決める

報告の受け口が決まっていないと、届いた報告が問い合わせ窓口や営業の担当で止まります。専用のメールアドレスか受付フォームを1つ決め、社外から見える場所に載せます。

連絡先を知らせる方法として、security.txtという形式があります。RFC 9116で定められた形式で、Webサイトの「/.well-known/security.txt」に置きます。連絡先（Contact）と有効期限（Expires）の2項目が必須です。

窓口と合わせて、次の内容を文書にしておきます。Anthropicのポリシーが公開している項目と同じ構成です。

対象範囲: 報告を受け付けるサービスと、対象外にするもの
報告に含めてほしい内容: 再現手順、発生した場所、想定される影響
受領連絡の目安: 何営業日以内に返信するか
公表の扱い: 修正が終わるまで公表を待ってもらうこと、公表の時期を相談すること
善意の調査への対応: 方針に沿った調査と報告には、法的措置をとらないこと

国内では、IPA（情報処理推進機構）の「情報セキュリティ早期警戒パートナーシップガイドライン」が、脆弱性の情報を受け取ったときの対応を示しています。製品開発者とウェブサイト運営者は、脆弱性関連情報の通知を受けた際に、このガイドラインに沿った対応をとることが求められています。最新版は2024年版です。

報奨金は必須ではありません。Anthropicも、サイバー分野のジェイルブレイクの窓口は報奨金を付けない開示プログラムとして運用しています。まずは「報告が届く」「返信できる」状態を作ります。

対応2：初動の担当と期限を決める

報告を受けてから最初の数日で行う作業を、担当ごとに分けます。人数が少ない会社では兼務で構いませんが、不在時の代理は決めておきます。

役割	担当する作業	担当部門の例
受領担当	報告を受け取り、受領の連絡を返す。記録を残す	情報システム担当
判定担当	再現できるかを確認し、影響の範囲と深刻度を判定する	開発担当、AIの運用担当
判断者	サービスの一時停止、利用者への連絡、公表を判断する	経営層、担当役員
ベンダー連絡担当	原因がAIベンダー側にある場合に、ベンダーの窓口へつなぐ	情報システム担当、契約の担当

期限は、ベンダーの公開情報を基準にすると決めやすくなります。Anthropicはポリシーで、受領の連絡を3営業日以内に行うと定めています。2026年10月8日時点の実績は、初回応答までの平均が14時間、深刻度の一次判定（トリアージ）までが15時間、解決までが約1か月2週間です。

自社の期限は、守れる範囲で決めます。たとえば「受領の連絡は3営業日以内」「再現確認と深刻度の判定は1週間以内」「修正の方針は判定後2週間以内に報告者へ伝える」という決め方です。短い期限を掲げて守れないよりも、守れる期限を公開するほうが報告者との信頼につながります。

原因が自社ではなくAIベンダー側にあると分かった場合は、ベンダーの窓口へ報告します。Anthropicの製品であればHackerOneのプログラム、第三者が開発したコネクタやMCPサーバーであればその開発元です。どの製品をどこへ報告するかを、利用しているAIサービスごとに一覧にしておくと、判定担当が迷いません。

対応3：モデル更新時の再評価を定例にする

生成AIを使った機能は、プログラムを変更していなくても挙動が変わります。きっかけは、モデルの切り替え、システムプロンプトの変更、連携するツールやコネクタの追加、AIツール本体のバージョン更新です。変更のたびに確認する項目を決め、実施した記録を残します。

確認する項目	確認の内容	対応するOWASPの項目
プロンプトインジェクション	外部の文書やWebページに埋め込まれた指示で、意図しない動作をしないか	LLM01:2025 Prompt Injection
機密情報の漏えい	回答に、個人情報や社内の機密情報が含まれないか	LLM02:2025 Sensitive Information Disclosure
出力の扱い	AIの出力を、検証せずにほかのシステムへ渡していないか	LLM05:2025 Improper Output Handling
権限の範囲	コマンド実行、ファイル書き込み、外部送信の許可が必要以上に広くないか	LLM06:2025 Excessive Agency
システムプロンプト	システムプロンプトに、認証情報や漏れて困る内容を書いていないか	LLM07:2025 System Prompt Leakage

表の右の列は、OWASPが公開している「OWASP Top 10 for LLM Applications」（2025年版）の項目です。確認項目を自社で一から作るよりも、公開されている一覧を基準にするほうが漏れを減らせます。

実施の時期は次の3つを基本にします。

モデルを切り替えるとき: 本番に適用する前に、確認項目を検証用の環境で実施する
新しい機能を使い始めるとき: ベータ版やプレビュー版の機能は、対象の業務を絞って始める。Anthropicのプログラムでも、リサーチプレビューやベータ版の機能は公開から1か月間、中核資産とは別の扱いになっている
定期の確認: 変更が無くても、四半期に1回など時期を決めて実施する。AIツールのバージョンが最新かどうかも合わせて確認する

Claude Codeを業務で使っている場合は、バージョンの更新を後回しにしないことが重要です。解決済みの報告の40%がClaude Codeに関するもので、修正は新しいバージョンで提供されます。許可設定の考え方はClaude Codeのセキュリティを解説した記事で、MCPを使う場合の確認項目はMCPのセキュリティ対策を解説した記事で説明しています。

出典: RFC 9116（IETF）、情報セキュリティ早期警戒パートナーシップガイドライン（IPA）、OWASP Top 10 for LLM Applications（OWASP）

AIベンダーを選ぶときに確認する6項目

バグ報奨金の有無だけでは、ベンダーの安全性は判断できません。確認するのは、報告を受けてから修正するまでの運用が公開されているかどうかです。Anthropicの公開情報を例に、確認項目を整理します。

確認項目	見るところ	Anthropicの場合（2026年10月8日時点）
報告の窓口が公開されているか	公式サイトの開示ポリシー、報奨金プログラムのページ	責任ある開示ポリシーとHackerOneのプログラムを公開
対象範囲が明示されているか	対象の製品と対象外の一覧	14資産を区分つきで公開。対象外も列挙
受領と対応の目安があるか	受領連絡の期限、対応時間の実績	受領連絡は3営業日以内。初回応答の平均は14時間
善意の調査を保護しているか	セーフハーバー（法的措置をとらない方針）の記載	方針に沿った調査と報告には法的措置をとらないと明記
モデルの安全性の報告先があるか	ジェイルブレイクなどの報告先	専用の窓口とメールアドレス、申請制のプログラムを用意
実績が開示されているか	解決件数、支払額、更新の履歴	解決済み479件、支払総額1,084,685ドル、更新履歴を公開

複数のAIサービスを使っている場合は、同じ表をサービスごとに作ると比較できます。検査を外部に依頼する場合の範囲の決め方はAIセキュリティ診断の進め方で、社内ルール全体の作り方はAIガバナンスの実践ガイドで説明しています。

よくある質問

Q. Anthropicのバグ報奨金はいくら支払われますか？

深刻度と資産の区分で決まり、目安は100ドルから1万ドルです。Claude.aiやAPI、Claude Codeなどの中核資産（Core Assets）は250〜1万ドル、それ以外の資産（Non-Core Assets）は100〜5,000ドルです。深刻度はCVSS（共通脆弱性評価システム）で判定され、最終的な金額はAnthropicの裁量で決まります。2026年10月8日時点のHackerOneの表示では、直近90日の平均は重大（Critical）で7,900ドル、中（Medium）で893ドルです。

Q. 誰でも参加できますか？

HackerOneのアカウントがあれば報告できます。2026年5月に一般公開されるまでは、セキュリティ研究者のコミュニティ内で非公開に運用されていました。参加には規約があり、検証用アカウントは@wearehackerone.comのメールアドレスで作ること、再現できる手順と動作する実証コードを付けることが求められます。自動スキャナーの出力やAIが書いただけの未検証の報告は、対象外として閉じられます。米国の制裁対象に該当する人は参加できません。

Q. Claudeから不適切な回答を引き出す手法（ジェイルブレイク）は報奨金の対象ですか？

このプログラムでは対象外です。対象はインフラとコードの脆弱性で、ジェイルブレイク、有害な内容の生成、ハルシネーションなど、モデルの回答内容に関する問題は含まれません。Fableモデルファミリーのジェイルブレイクは専用の窓口（HackerOneのAnthropic Cyber Jailbreak）、それ以外のモデルはmodelbugbounty@anthropic.comへ報告します。別に、申請制のModel Safety Bug Bounty Programがあり、こちらは1件あたり最大35,000ドルです。

Q. 第三者が作ったMCPサーバーやコネクタの脆弱性は、どこに報告しますか？

開発元に直接報告します。Anthropicのプログラムが対象にするのは、Anthropicが開発したコネクタと、Claude.aiやClaude Desktopなど自社製品に組み込まれたMCPの実装です。第三者が開発したソフトウェアは、Anthropicのコネクタ一覧に載っていても対象外です。オープンソースのMCP本体のコードは、各リポジトリのSecurityページからメンテナーへ報告します。

Q. 自社でもバグ報奨金制度を始めるべきですか？

最初から報奨金を出す必要はありません。先に整えるのは、報告を受ける窓口、受領と判定の担当、対応の期限です。報奨金を付けない脆弱性開示プログラム（VDP）という形もあり、Anthropicもサイバー分野のジェイルブレイクの窓口は報奨金なしで運用しています。報奨金を出すと報告の数が増えるため、判定と修正をこなせる体制ができてから検討する順番が安全です。

Q. バグ報奨金があるAIサービスは安全だと言えますか？

言い切れません。報奨金制度は、脆弱性を早く見つけて直すための仕組みで、脆弱性が無いことを保証するものではありません。確認するのは、報告窓口と対象範囲が公開されているか、受領や対応の目安が示されているか、実績が開示されているかです。Anthropicの場合、2026年10月8日時点で解決済みの報告は479件、初回応答までの平均は14時間と表示されています。