Microsoft pagó 20 millones por fallos: la IA dispara los reportes
El balance anual del Microsoft Security Response Center, publicado el 3 de agosto de 2026, cifra el récord en más de 20 millones de dólares para 562 investigadores de 64 países, frente a 17 millones repartidos entre 344 investigadores de 59 países el año anterior; también relaciona el aumento de envíos durante la segunda mitad del periodo con una mayor participación y el uso creciente de IA en la investigación de seguridad.
Los pagos fueron para investigadores que comunicaron vulnerabilidades en productos y servicios de Microsoft, pero no se distribuyeron por igual. La compañía no desglosó las recompensas individuales, una media por participante ni cuántos de los reportes aceptados habían sido preparados con ayuda de IA.
Por qué aumentaron los pagos y los envíos
El récord responde a varios cambios simultáneos, no solo a la automatización. Participaron más investigadores, creció el volumen de reportes y la política In Scope by Default permitió recompensar determinados hallazgos de impacto que quedaban fuera de los programas tradicionales.
La cobertura de ITPro sobre la ampliación detalla que esta política añadió más de 300 reportes y más de 800.000 dólares en recompensas por vulnerabilidades que anteriormente no habrían sido elegibles.
La IA interviene en otra parte del crecimiento: facilita revisar código, formular hipótesis y producir variaciones de una prueba. Sin embargo, los datos publicados no separan su efecto del incremento de participantes y del nuevo alcance, por lo que no permiten atribuirle una proporción concreta de los pagos.
Qué fallos pueden entrar ahora en el programa
La ampliación cubre investigación relevante en software de código abierto elegible, componentes de terceros y servicios en la nube de Microsoft, incluso cuando el activo no encaje en el alcance tradicional de un programa. Esto no convierte cualquier defecto de esas tecnologías en una vulnerabilidad recompensable: el reporte debe demostrar un impacto de seguridad sobre productos, servicios o clientes de Microsoft.
La elegibilidad sigue dependiendo de las reglas del programa aplicable. El activo y la versión deben estar admitidos, el hallazgo debe ser nuevo o único, y las pruebas deben respetar la divulgación coordinada y las normas de interacción sin acceder, modificar o extraer datos de clientes ni interrumpir servicios.
Recompensa máxima, alcance y calidad por programa
Los importes publicados son topes, no tarifas garantizadas. La gravedad, el impacto demostrado, la calidad del reporte y las condiciones particulares de cada programa determinan la recompensa final.
- La tabla oficial de Microsoft Bounty Programs fija un máximo de 250.000 dólares para Endpoint & On-Prem Programs, de 100.000 dólares para Cloud Programs y de 100.000 dólares para Zero Day Quest.
- Endpoint & On-Prem Programs. Agrupa programas para endpoints y sistemas locales. El producto, la versión y el escenario deben aparecer en las reglas específicas, y el reporte debe demostrar un impacto significativo y reproducible.
- Cloud Programs. Cubre servicios admitidos por los programas de nube. La prueba debe identificar el servicio afectado, las condiciones necesarias y el efecto de seguridad sin poner en riesgo datos o disponibilidad.
- Zero Day Quest. Se concentra en escenarios prioritarios de nube e IA definidos por cada convocatoria. La calidad exigida incluye pasos claros, una prueba de concepto y análisis técnico suficiente para validar el hallazgo.
Un comportamiento extraño, un mensaje de error o una respuesta generada por una herramienta no bastan por sí solos. Para aspirar a una recompensa, el investigador debe convertir esa señal en una vulnerabilidad verificable y explicar qué podría conseguir un atacante bajo condiciones realistas.
Cómo documentar un hallazgo asistido por IA sin añadir ruido
La automatización aporta valor cuando reduce trabajo mecánico: puede localizar rutas de código sospechosas, comparar respuestas, generar entradas de prueba o ayudar a minimizar un caso reproducible. Añade ruido cuando transforma una hipótesis no comprobada en un reporte convincente en apariencia, pero incapaz de reproducirse.
El documento final debe distinguir lo sugerido por el sistema de lo verificado por el investigador. También necesita identificar el producto, la versión o el servicio afectados, las condiciones previas, el resultado observado, el comportamiento esperado y el impacto que realmente demuestra la prueba.
- Reproducir el fallo en un entorno permitido y registrar la configuración exacta.
- Reducir la prueba al caso mínimo que mantenga el efecto de seguridad.
- Incluir pasos ordenados y una prueba de concepto segura que el equipo receptor pueda ejecutar.
- Eliminar cadenas de explotación especulativas y afirmaciones que dependan únicamente de la respuesta del modelo.
- Comprobar el alcance vigente y explicar por qué el hallazgo es nuevo y relevante para Microsoft.
La fluidez del texto generado no compensa una prueba irrepetible. La parte decisiva sigue siendo la evidencia: cada paso debe producir el resultado descrito y cada afirmación sobre el impacto debe derivarse de esa reproducción.
Qué sigue sin conocerse tras el récord
El balance permite relacionar el crecimiento con tres factores —más participación, un alcance ampliado y el uso creciente de IA—, pero no mide el peso de cada uno. Tampoco publica el total de envíos recibidos o rechazados, la mediana de las recompensas, la distribución de pagos entre programas ni la proporción de hallazgos asistidos por IA.
Por ahora, el récord muestra que ampliar la elegibilidad puede convertir investigación antes excluida en reportes remunerados. Queda por ver si el próximo periodo mantiene los mismos topes y criterios o introduce filtros adicionales para gestionar el volumen automatizado sin retrasar la validación de vulnerabilidades reproducibles.
Lee también:
Suscríbete a nuestro boletín
Reciba las últimas noticias sobre Web3, IA y criptomonedas directamente en su bandeja de entrada.