สรุปสั้น
บริษัท Microsoft เริ่มใช้ระบบประเมินรายงานแบบใหม่ในโครงการบั๊กบาวน์ตีทุกโครงการ โดยแบ่งรายงานเป็น Complete (สมบูรณ์) และ Not Complete (ไม่สมบูรณ์) และให้หลักฐานที่นักวิจัยส่งมาเป็นปัจจัยหลักในการกำหนดรางวัล ในโครงการ Azure รายงานช่องโหว่ RCE หรือยกระดับสิทธิ์ระดับ Critical ที่เข้าเกณฑ์จะได้ 40,000 ดอลลาร์หากถูกประเมินว่าสมบูรณ์ แต่ได้เพียง 4,000 ดอลลาร์หากไม่สมบูรณ์ ต่างกันถึง 10 เท่า เกณฑ์นี้ใช้กับรายงานที่ส่งตั้งแต่ 20 ตุลาคม 2569 เวลา 8:00 น. ตามเวลาแปซิฟิก ส่วนรายงานที่ส่งก่อนหน้านั้นยังใช้เกณฑ์เดิม
Microsoft ระบุว่าต้องการลดการขอข้อมูลเพิ่มเติมจากนักวิจัย และให้ทีมความปลอดภัยทำซ้ำและประเมินช่องโหว่ได้เร็วขึ้น เกณฑ์สำคัญคือวิศวกรที่ไม่เคยเห็นช่องโหว่นั้นต้องทำซ้ำและประเมินได้จากรายงานฉบับแรก การเปลี่ยนแปลงนี้เกิดขึ้นในช่วงที่ Microsoft ยอมรับว่างานวิจัยที่ใช้ AI ช่วยทำให้ส่งรายงานช่องโหว่จำนวนมากได้ง่ายขึ้น ซึ่งสอดคล้องกับที่บริษัท Google เคยระงับรางวัลสำหรับผลิตภัณฑ์โอเพนซอร์สชั่วคราวเพราะรายงานอัตโนมัติคุณภาพต่ำไหลเข้ามามาก (ดูโพสต์ 2026/10/023)
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 21 ตุลาคม 2569 ว่า ตัวเลข 40,000 ดอลลาร์ไม่ใช่รางวัลมาตรฐานสำหรับทุกช่องโหว่ใน Azure เพราะโครงการ Azure Bounty ผูกรางวัลไว้กับผลกระทบด้านความปลอดภัย ความรุนแรง และความสมบูรณ์ของรายงาน ช่วงรางวัลที่ประกาศยังอยู่ที่ 400 ถึง 60,000 ดอลลาร์ และอาจมีรางวัลเพิ่มตามดุลยพินิจของ Microsoft รวมถึงเปอร์เซ็นต์เพิ่มสำหรับสถานการณ์ที่มีผลกระทบสูงบางแบบ
| ประเภทช่องโหว่ (Azure) | Complete | Not Complete |
|---|---|---|
| RCE / ยกระดับสิทธิ์ ระดับ Critical | 40,000 ดอลลาร์ | 4,000 ดอลลาร์ |
| RCE ระดับ Important | 30,000 ดอลลาร์ | 3,000 ดอลลาร์ |
| เปิดเผยข้อมูล ระดับ Critical | 12,000 ดอลลาร์ | 1,200 ดอลลาร์ |
| Spoofing / Tampering ระดับ Critical | 8,000 ดอลลาร์ | 800 ดอลลาร์ |
รายงานที่สมบูรณ์ไม่ได้แปลว่าจะได้รางวัลอัตโนมัติ หรือทำให้ช่องโหว่กลายเป็นระดับ Critical เพราะ Microsoft ประเมินความรุนแรงและผลกระทบแยกต่างหาก รายงานยังต้องผ่านกฎของโครงการ เช่น ต้องแสดงช่องโหว่บนบริการหรือผลิตภัณฑ์เวอร์ชันล่าสุดที่แพตช์ครบแล้ว และหากรายงานขาดรายละเอียดหรือไฟล์ประกอบที่จำเป็น จะถูกประเมินว่า Not Complete แม้ Microsoft จะขอข้อมูลเพิ่มภายหลังก็ตาม
รายละเอียดเกณฑ์ใหม่
Microsoft คาดหวังให้รายงานมีขั้นตอนทำซ้ำที่ชัดเจน PoC ที่ใช้ได้จริง ประเภทช่องโหว่ และการวิเคราะห์เชิงเทคนิคที่ถูกต้อง นักวิจัยต้องระบุสภาพแวดล้อมที่ได้รับผลกระทบ เวอร์ชัน เงื่อนไขการโจมตี และสิ่งที่ผู้โจมตีทำได้ รวมถึงอธิบายต้นเหตุของช่องโหว่เมื่อทำได้
หลักฐานที่ต้องใช้ขึ้นกับประเภทช่องโหว่ รายงาน memory corruption อาจต้องมีข้อมูล crash, call stack และซอร์สโค้ดของ PoC ช่องโหว่ file redirection อาจต้องมีล็อกจาก Process Monitor รายงาน NTLM coercion หรือ relay อาจต้องมี packet capture ส่วนช่องโหว่เว็บแอปพลิเคชันอาจต้องมีวิดีโอและสคริปต์ประกอบ
ขั้นตอนทำซ้ำและรายละเอียดเชิงเทคนิคต้องกรอกลงในช่องของ MSRC Researcher Portal โดยตรง การแนบเอกสารไม่ได้ทดแทนการกรอกข้อมูลเหล่านั้น Microsoft ระบุว่ายินดีให้ใช้ AI ช่วยวิจัย แต่รายงานยังต้องมีการวิเคราะห์ที่ถูกต้องและหลักฐานที่แสดงว่าช่องโหว่มีอยู่จริง และการทดสอบต้องอยู่ในขอบเขตกฎของ Microsoft ห้ามเข้าถึงเกินสิทธิ์ที่อนุญาตเพียงเพื่อพิสูจน์ว่าผลกระทบสูงกว่า
ผลกระทบ
สำหรับนักวิจัยความปลอดภัย การเปลี่ยนแปลงนี้ทำให้คุณภาพเอกสารมีผลทางการเงินชัดเจน การพบช่องโหว่ที่ถูกต้องแต่ส่งรายงานไม่ครบอาจทำให้เสียรางวัลไป 90% ผู้ที่ทำงานวิจัยอย่างเป็นระบบและเตรียม PoC กับหลักฐานครบตั้งแต่แรกจะได้เปรียบ ส่วนผู้ที่ส่งรายงานจำนวนมากจากเครื่องมืออัตโนมัติหรือ AI โดยไม่ได้ยืนยันเองจะได้ผลตอบแทนน้อยลงมาก
ในภาพใหญ่ นี่เป็นอีกสัญญาณว่าโครงการบั๊กบาวน์ตีรายใหญ่กำลังปรับตัวรับรายงานจำนวนมากที่ AI ช่วยสร้าง หลังจาก Google ระงับรางวัลบางส่วนเพราะเหตุผลคล้ายกัน แนวทางของ Microsoft ไม่ได้ปิดรับรายงานจาก AI แต่ย้ายภาระการพิสูจน์ไปไว้ที่ผู้ส่ง ซึ่งหากได้ผลจะช่วยให้ช่องโหว่จริงได้รับการตรวจและแพตช์เร็วขึ้น แต่ก็มีความเสี่ยงที่นักวิจัยรายใหม่หรือรายเล็กซึ่งยังไม่คุ้นกับมาตรฐานเอกสารจะได้รับรางวัลน้อยกว่าที่ควร
คำแนะนำ
- นักวิจัยที่ส่งรายงานให้ Microsoft ควรอ่านแนวทาง report completeness ของ MSRC ก่อนส่ง และเตรียมหลักฐานตามประเภทช่องโหว่ให้ครบตั้งแต่ครั้งแรก
- กรอกขั้นตอนทำซ้ำและรายละเอียดเชิงเทคนิคลงในช่องของ MSRC Researcher Portal โดยตรง ไม่พึ่งเอกสารแนบอย่างเดียว
- ทดสอบช่องโหว่บนเวอร์ชันล่าสุดที่แพตช์ครบ และระบุเวอร์ชัน สภาพแวดล้อม และเงื่อนไขการโจมตีให้ชัด
- หากใช้ AI ช่วยวิจัย ต้องยืนยันผลด้วยตัวเองและแนบ PoC ที่ใช้ได้จริง
- องค์กรที่เปิดโครงการบั๊กบาวน์ตีหรือ vulnerability disclosure ของตัวเอง ใช้แนวทางนี้เป็นต้นแบบกำหนดเกณฑ์ความสมบูรณ์ของรายงาน เพื่อลดภาระทีมคัดกรอง