Å finne en reell sikkerhetssvakhet og få betalt for den kan være et motiverende mål for den som lærer cybersikkerhet. Bugbounty-programmer lar sikkerhetsforskere teste ferdighetene sine på ekte programvare og samtidig hjelpe utviklere med å gjøre tjenestene sikrere.

Samtidig har flere programmer blitt satt på pause eller avsluttet etter en strøm av rapporter som må gjennomgås. Det gjør veien mindre forutsigbar for nybegynnere, men erfaringene viser også hva som kreves for å lage funn andre faktisk kan kontrollere.

Færre bekreftede funn hos curl

Et bugbounty-program belønner sikkerhetsfunn som er gyldige og omfattet av programmets regler. Utviklerne må likevel vurdere hver innsendte rapport, gjenskape problemet og anslå konsekvensene.

En overbevisende rapport om en sårbarhet som ikke finnes, kan ta tid fra et lite sikkerhetsteam som ellers kunne jobbet med reelle problemer. Da curl avsluttet sitt betalte bounty-program 31. januar 2026, forklarte vedlikeholder Daniel Stenberg at kvaliteten på rapportene hadde blitt dårligere.

Andelen bekreftede sårbarheter falt fra over 15 prosent tidligere år til under 5 prosent fra og med 2025. Gjennom hele programmets levetid hadde det bidratt til å avdekke 87 bekreftede sårbarheter og utbetalt mer enn 100 000 dollar til forskere.

Tallene gjelder curl spesifikt. Google har også satt deler av arbeidet på pause, men med en avgrenset virkning: Innsendinger om leverandørkjeden og utestående rapporter ble ikke berørt. Selskapets bredere belønningsprogrammer for sårbarheter utbetalte 17,1 millioner dollar i 2025.

Avslutningene og begrensningene viser press på enkelte programmer, men ikke at alle muligheter er borte. I april opplyste Stenberg at kvaliteten på innsendingene hadde bedret seg, og at andelen bekreftede sårbarheter var tilbake på rundt 15–16 prosent. Han observerte omfattende bruk av AI i rapportene. Forskere fant fortsatt reelle problemer, men den store mengden rapporter skapte mer arbeid for vedlikeholderne.

Rapporten må kunne etterprøves

For den som lærer, er lærdommen å ta ansvar for bevisene bak et funn. Det er enkelt å få et verktøy eller en språkmodell til å formulere en rapport. Det vanskeligere arbeidet er å fastslå om påstanden holder.

Før du prøver å få din første utbetaling, bør du lære hvordan systemene du vil teste, fungerer. For nettsikkerhet innebærer det blant annet å forstå HTTP-forespørsler, innloggede økter, tillatelser og hvordan applikasjoner håndterer data. Grunnleggende nettverks- og kommandolinjekunnskaper gjør det lettere å undersøke hva som skjer når et verktøy gir et uventet resultat.

Øv i et miljø som er laget for læring. Der kan du gjøre feil, gjenta en test og undersøke resultatet uten å påvirke en aktiv tjeneste. Velg én konkret ferdighet for hver økt, for eksempel å forklare en forespørsel eller finne ut hvilken konto som har tilgang til en ressurs.

TryHackMes læringsløp Cyber Security 101 dekker nettverk, grunnleggende Linux og Windows, webapplikasjoner samt offensiv og defensiv sikkerhet. En strukturert fremgangsmåte gir hvert verktøy en tydelig funksjon og gjør det lettere å forstå hvilke bevis verktøyet produserer.

Etter en øvelse kan du skrive ned hva du endret, hva som skjedde og hvorfor. Gjenta deretter oppgaven uten å se på notatene. Evnen til å forklare og gjenskape resultatet er en praktisk måte å måle fremgang på.

Slik kan AI brukes i læringen

AI kan hjelpe med å forklare en ukjent feilmelding, foreslå spørsmål som bør undersøkes eller vurdere hvor tydelige notatene dine er. Du får mer ut av øvelsen hvis du først prøver selv og gir modellen et konkret punkt du ikke forstår.

Etter at du har undersøkt en forespørsel i et laboratorium, kan du for eksempel be modellen forklare hvordan informasjonskapselen for økten henger sammen med den innloggede kontoen. Hvis du står fast, kan du be om ett hint og beskrive hva du allerede har forsøkt. Test deretter neste steg og forklar hvorfor det fungerte.

Avslutt økten med å gjøre oppgaven på nytt uten hjelp. Hvis du kan forklare hvilke bevis som støtter funnet, og hva som ville motbevist det, har du lært noe som kan brukes også utenfor øvelsen.

Et eksempel på tilgangskontroll

Tenk deg en autorisert treningsapplikasjon med to testkontoer. Når du endrer identifikatoren til en faktura, får du et vellykket svar. Det er likevel ikke nok til å fastslå en feil i tilgangskontrollen.

For å dokumentere en slik sårbarhet må du vise at den ene kontoen kan få tilgang til den andre kontoens private testfaktura, og at dette bryter med applikasjonens tiltenkte tillatelser. Registrer atferden du faktisk kan demonstrere, inkludert betingelsene som må være oppfylt. Påstander om større konsekvenser bør hele tiden knyttes til konkrete bevis.

Bygg en vane for dokumentasjon

En måned med målrettet øving kan bidra til gode arbeidsvaner. Tilpass tempoet til utgangspunktet ditt, og mål fremgangen etter hva du kan forklare og gjenta.

Ved slutten av perioden bør du ha en oversikt over resonnementene dine og en rapport du kan forbedre. Fortsett å øve på områdene der du fortsatt trenger hjelp. Om du er klar for et aktivt bugbounty-program, avhenger av ferdighetene dine og reglene i programmet, så måneden bør ses som et utgangspunkt.

Før du sender inn et funn, bør rapporten forklare hva som skjer, hvilke betingelser som kreves, og hvilket bevis som viser at problemet er reelt. Inntekt fra bountyarbeid avhenger av at funnet er gyldig, kvalifiserer og omfattes av programmets regler for utbetaling.

Den samme vanen med å kontrollere bevis er nyttig i sikkerhetsoperasjoner, hendelseshåndtering og penetrasjonstesting. Når du undersøker en øvelse, bør du også øve på å forklare hvordan en forsvarer kan oppdage problemet, og hva en utvikler kan endre for å rette det.

Bug bounty er dermed én måte å bruke sikkerhetsferdigheter på. Ta vare på tydelige laboratorienotater, og del gjennomarbeidede beskrivelser der læringsplattformen tillater det. Neste økt kan starte med én øvelse, et eget forsøk og dokumentasjonen som forklarer resultatet.