Los programas de recompensa por errores en la era Mythos

Los programas de recompensa por errores están cambiando más rápido ahora que en cualquier otro momento de sus treinta años de historia. Por un lado, el auge de la investigación asistida por IA ha inundado muchos programas de baja calidad (slop). Por otro, los modelos de vanguardia están empezando a producir vulnerabilidades validadas, reproducibles y explotables a la velocidad de una máquina. Ambas tendencias se están acelerando y ninguna de ellas va a revertirse.

Ese cambio replantea la finalidad de un programa de recompensas por errores. Ya no es solo un canal para recibir hallazgos externos. Es una prueba en vivo de si tu mecanismo de clasificación, ingeniería y respuesta puede seguir el ritmo de un proceso de descubrimiento de vulnerabilidades que ha cambiado radicalmente ante los ojos de cualquiera que gestione un programa de este tipo.

Este artículo trata sobre cómo vemos evolucionar este cambio, qué exige a los programas de recompensas por errores y cómo ha evolucionado el nuestro para afrontarlo. También analizaremos los resultados de 2025, ya que ese año se cumplen treinta años desde el primer programa de recompensas por errores reconocible, cuando Netscape invitó a los investigadores a encontrar vulnerabilidades en una de las primeras versiones beta de su navegador, y ocho años desde que lanzamos nuestro propio programa público.

La IA está cambiando los programas de recompensas por errores

La señal que probablemente estés escuchando ahora mismo es el «slop», un aumento de envíos de bajo esfuerzo y asistidos por IA que atascan las colas de clasificación en todo el sector. Eso es real, y es doloroso. Pero también es la mitad más pequeña de lo que está sucediendo. Bajo todo ese ruido, la IA está empezando a producir hallazgos validados y explotables a la velocidad de una máquina, y esa capacidad está mejorando rápidamente.

Dos cosas pueden ser ciertas a la vez:

El «slop» aumentará (más automatización, más envíos, más carga de clasificación).

Las capacidades mejorarán (los modelos mejorarán en el razonamiento a través de bases de código, la construcción de hipótesis de explotación y la búsqueda de cadenas no obvias).

Ambas trayectorias se están acelerando, y ninguna va a revertirse. Antes de entrar en cómo deben evolucionar los programas, vale la pena contextualizar el debate observando lo que ha significado gestionar nuestro programa durante los últimos ocho años, porque la experiencia y las competencias que un programa acumula con el tiempo representan, de hecho, una parte fundamental de su capacidad para adaptarse y resistir cambios de esta magnitud.

Cómo ha evolucionado nuestro programa

No diseñamos nuestro programa de recompensas por errores pensando en la era Mythos. Nadie lo hizo. Pero ocho años de gestionarlo, ajustarlo y aprender de él nos han dejado en una mejor posición para lo que se avecina que un programa diseñado hoy y lanzado sin preparación.

Lee el artículo completo en inlgés: https://www.sophos.com/en-us/blog/bug-bounties-in-the-mythos-era

Acerca del autor

Ross McKerchar

Ross McKerchar is the CISO of Sophos. Ross has a BSc in Computer Science from Edinburgh University and joined Sophos in 2007. During his years at Sophos, Ross established and built Sophos’ cybersecurity program through periods of high company growth, including multiple acquisitions and an IPO on the LSE.

At Sophos, the CISO team runs all aspect of Sophos' own security including Security Architecture, Trust and Compliance, Product Security, Red Teaming and Security Operations. Sitting in the Sophos technology group alongside Sophos Labs and our customer-facing MDR team, we are part of Sophos X-Ops joint task force.

Out of work Ross has a passion for the outdoors and, when he’s not spending time with his young family, loves to travel around the world rock climbing, trail running or surfing.

Ryan Westman

Ryan Westman is a Senior Manager of Threat Research at Sophos. With over a decade of experience in cybersecurity and national security, Ryan specializes in threat intelligence and operations. He has led high-performing teams across government, Big Four consulting, and the MDR space.
Ryan has provided expert commentary to leading media outlets and spoken at major national and international conferences, including DEFCON, RMISC, Sleuthcon, ILTACon, and Evanta CISO events. He holds multiple degrees and industry certifications (GCTI, GCFA, GSLC) and is passionate about protecting organizations from foreign and domestic cyber threats.