脆弱性報奨金制度
GoogleはChromeウェブブラウザのセキュリティ強化に向けて、2010年に本制度を試験的に導入した。2013年10月、Googleは制度「Vulnerability Reward Program」(VRP) の大きな変更を発表した。これまでは多くのGoogle製品を網羅する制度であったが、この移行により、主にコンピュータネットワーク用または、低レベルのオペレーティングシステム機能用に設計された、リスクの高いオープンソースソフトウェアやライブラリを含むように拡張。2017年には、Google Play ストアから入手できるサードパーティー製のアプリケーションも含むよう制度を拡張した。2010年に制度を開始して以来、2019年までに報奨金として合計2100万ドル以上、2019年は例年のおよそ2倍となる650万ドルを支払っている。
この現象をより詳細に調査すると、熱心な人の多くはソフトウェアエンジニアであり、製品のバグを自ら修正し、ネットスケープのテクニカルサポート部門によって設置されたオンラインのフォーラムや、「Netscape U-FAQ」といった非公式のFAQサイトを立ち上げ、バグの修正や回避方法を公開していると分かった。Ridlinghaferは、企業がこれらのリソースを活用するべきと考え、「ネットスケープ バグバウンティプログラム」(Netscape Bugs Bounty Program) を提案。同年10月10日、Netscape Navigator 2.0 ベータ版ブラウザ向けの最初の制度を開始した。当初はノベルティグッズといった景品が贈られていたが、その後はハッキングコンテストの開催など規模を大きくし、高額な賞金が贈られるようになった。
本制度はテクノロジー業界に留まらず、アメリカ国防総省 (DoD) のような保守的な組織においても利用されている。2016年3月、ピーター・クックはDoDにとって最初の制度である「Hack the Pentagon」を発表した。制度は同年4月18日から5月12日までの期間限定で実施され、1400人以上のユーザーがHackerOneを通じ、138件の有効な脆弱性の報告を行った。DoDは合計で7万1200ドルを支払った。