> ## Documentation Index
> Fetch the complete documentation index at: https://docs.intention.xyz/llms.txt
> Use this file to discover all available pages before exploring further.
# バグバウンティ
> セキュリティ研究者向けのIntentionの協調的開示プログラム。スコープ、深刻度の分類、報奨金の範囲、実施ルール、報告の提出方法です。
このページはセキュリティ研究者のための入口です。Intentionの協調的開示プログラムは、プロトコルの脆弱性が、そこで取引する人々に対して使われる前に発見し修正するために存在します。注文を実行する決定的なカーネルから、担保資産を保管するブリッジコントラクトまで、システムのあらゆる層を真剣な研究者に見てほしいと考えています。本物の問題が見つかったときには、それに見合う対価を支払う用意があります。
このプログラムは現在、正式化の作業中です。このページに記載する枠組み、スコープ、深刻度モデル、提出プロセスは、監査を経た最初のメインネットリリースとともに運用を開始する暫定構造です。具体的な報奨金額はプログラムの正式開始まで暫定扱いですが、構造そのものは確定しています。**ローンチ前の期間に責任ある形で開示された正当な指摘は、すべてこのページの枠組みに従って扱われます**。
以下の報奨金の範囲は暫定であり、監査を経た最初のリリースと同時にプログラムが開始される際に最終値へ置き換えられます。スコープ、深刻度モデル、提出ルールは暫定ではありません。これらは今日そのまま従うべきルールです。
スコープ
スコープ内
悪意ある攻撃者がユーザーの資金を盗み、プロトコルを停止させ、確定済みの状態を破壊し、あるいはアーキテクチャが依拠する性質を破るために使えるものは、すべて既定でスコープ内です。その性質とは、再現可能な[実行](/ja/protocol/architecture/kernel)、[それを消費するブロックの中で認証される価格](/ja/protocol/architecture/oracle)、[マッチングと不可分に走るリスク処理](/ja/protocol/architecture/clearinghouse)、[原因となったトランザクションまで辿れる状態変化](/ja/protocol/architecture/state/model)です。具体的には次のとおりです。
* **\[IntentionKernel]**(/ja/protocol/architecture/kernel)：実行の意味論、閉世界の命令セット、順序付けの規律、バイト単位の決定性。あるバリデータの実行を別のバリデータの実行から乖離させるもの、またはプロトコル仕様にない効果をトランザクションに生じさせるもの全般。
* **\[IntentionBFT]**(/ja/protocol/architecture/intention-bft)：コンセンサスの安全性とライブネス、リーダー選出、正規の順序付けのコミットメント、署名集約、ポスト量子暗号への移行経路。
* **\[オラクルと価格クォーラム]**(/ja/protocol/architecture/oracle)：観測値の提出、MADに基づく外れ値の排除、認証済み価格のエンベロープ、同じコンセンサスイベントでコミットされていない価格をトランザクションに読ませてしまう経路全般。
* **\[クロスチェーンブリッジ]**(/ja/protocol/architecture/bridge)：バリデータのアテステーションを伴う入出金フロー、対応する宛先チェーン上のオンチェーンブリッジコントラクト、しきい値署名と鍵管理のプロセス、それらを取り巻く運用統制。
* **取引エンジン**：マッチング、マーク価格の算出、強制決済の連鎖、保険基金、ADL、資金調達の決済、プロトコルネイティブなリスクパイプライン。
* **公開APIの提供面**：RESTとWebSocketのエンドポイント、認証、署名、レート制限、インターネットから到達可能なコードパス全般。
* **バリデータソフトウェア**：ノードのバイナリ、鍵の取り扱い、ピアツーピアのトランスポート、バリデータが本番で動かす運用ツール全般。
スコープ外
次のカテゴリはバウンティプログラムから明示的に除外されます。これらを対象とする報告は受領を確認しますが、報奨金の対象にはなりません。
* バリデータのインフラや公開RPCエンドポイントに対する、物量によるサービス妨害攻撃。これらへの防御はプロトコルのパッチではなく、ネットワークエッジでの運用上の緩和策にあります。
* Intentionが管理していないサードパーティのソフトウェア、依存関係、サービスにおける問題。
* バリデータのハードウェアへの物理アクセス、Intention Labsの従業員に対するソーシャルエンジニアリング、チームが社内で使うツールへのサプライチェーン攻撃を前提とする指摘。
* マーケティングサイトやこのドキュメントサイトに対するSelf-XSS、セキュリティ上の影響がないコンテンツ偽装、セキュリティヘッダーの欠落、その他の影響の小さい問題。
* 正式に廃止され、どのバリデータでも、どの本番サービスでも動いていないソフトウェアのバグ。
* 起こりにくい前提条件（たとえば正直なステークの51%の侵害）を必要とし、その前提条件を成立させる具体的な道筋を示さない理論上の攻撃。
深刻度の分類
指摘は4段階で格付けされます。等級は**影響度**（攻撃者が何を達成できるか）と**発生可能性**（必要な前提条件やリソースを含め、攻撃シナリオがどれだけ現実的か）の組み合わせで決まります。ユーザーの資金に触れる指摘では、危険に晒される資産額が影響度の支配的な要因になります。
| 等級 | 内容 | 代表的な例 |
| ---------------- | ---------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------- |
| **Critical**（重大） | ユーザー資金の直接的な窃取、恒久的な喪失、不正な発行。コンセンサスの安全性違反。永続化しうるオラクルの偽造。 | 支払いのないアカウントへトランザクションが入金できてしまうカーネル内の経路。`$f$`のバリデータだけでブロックをコミットできてしまう署名集約の欠陥。対応するロックなしに宛先チェーンのトークンを発行してしまうブリッジの出金。 |
| **High**（高） | 一部のユーザーまたは特定のマーケットに限定された損失。コンセンサスのライブネス停止。ブリッジに対するグリーフィング攻撃。狙い撃ちの強制決済。 | 実際の証拠金不足がないのに特定のポジションへ発動できてしまう強制決済エンジンの経路。あるチェーンの出金処理が止まるように詰まらせられるブリッジの状態機械。コンセンサスの侵害には至らない、バリデータソフトウェアに対する権限昇格。 |
| **Medium**（中） | 直接の資金喪失はないが、プロトコルの保証や運用上の完全性に対する実質的な侵害。 | 非公開であるべき状態の不正な読み取り。チェーン運用のコストを実質的に押し上げるレート制限の回避。[実行ストリーム](/ja/help/glossary)に、確定済みの状態と矛盾するイベントを出させる手口。 |
| **Low**（低） | 資金喪失にもコンセンサスの混乱にもつながらない、影響の限定的な問題。 | 実害のない情報漏えい。公開APIにおける一貫性のないエラー応答。悪用経路のない軽微な運用上の問題。 |
深刻度はIntentionのセキュリティチームが報告者と協議のうえ決定します。チームはすべての指摘について等級の理由を書面で説明し、報告者は新たな根拠を示して等級に異議を唱えられます。
報奨金の範囲
報奨金はすべて、報告者が指定するウォレットアドレスへ**USDC**で支払われます。ネイティブトークンは関与しません。
| 等級 | 暫定の報奨金範囲 |
| -------- | ------------------------------------ |
| Critical | `TBD — high five to six figures` |
| High | `TBD — mid four to low five figures` |
| Medium | `TBD — low four figures` |
| Low | `TBD — symbolic / swag` |
この範囲はプログラム開始までの仮置きです。最終的なマトリクスは、監査を経た最初のリリースの出荷時にこのページで公開します。
すべての支払いに共通するルールがいくつかあります。
* **固有の脆弱性1件につき報奨金1件**。同じ根本原因から複数の指摘が生じた場合、チームはそれらを統合し、該当する最も高い深刻度で1件として支払います。
* **先に報告した人が優先**。すでにトリアージ中の問題に対する重複報告は、受領を確認しますが報奨金の対象にはなりません。
* **既知の問題に報奨金は出ません**。セキュリティチームの社内バックログにすでにある項目や、公開済みの監査でカバー済みの項目に一致する指摘は対象外です。該当する場合、チームは関連する参照先を共有します。
* **報奨金は協力を前提とします**。修正前の公開、最小限の概念実証を超える悪用、ユーザーへの何らかの被害は、いずれも報奨金を無効にします。
実施ルール
プログラムに参加する研究者は、次の制約に同意するものとします。これらはユーザーを守り、他の研究者を守り、Intentionがこのプログラムを続けられる状態に保つために存在します。
* **実際のユーザー資金がある本番環境でのテストは禁止**。パブリックテストネット（稼働後）またはプライベートフォークを使ってください。本番環境でしか再現できない指摘の場合は、まず`contact@intention.xyz`に連絡し、セキュリティチームが要請を受領するまで概念実証を実行しないでください。
* **ソーシャルエンジニアリングは禁止**。Intention Labsの従業員、業務委託先、バリデータ、パートナーを、フィッシングやプリテキスティングなどの手口の標的にしないでください。
* **物量攻撃は禁止**。トラフィックを大量に流すサービス妨害や、共有インフラに対するリソース枯渇攻撃は行わないでください。
* **概念実証は最小限に**。影響の実証は可能な限り小さな操作で行ってください。ユーザーデータを持ち出さないこと、問題の証明に必要な額を超えて資金を動かさないこと、概念実証の完了後にシステム上へ居座らないことを守ってください。
* **修正前の公開は禁止**。協調的開示が既定です。修正がデプロイされた時点で、セキュリティチームが公開のスケジュールについて報告者と調整します。
* **適用される法令を遵守すること**。以下のセーフハーバーの規定は、これらのルールのもとで行われる善意の研究に適用されます。関係する法域のコンピュータ不正使用に関する法律に違反する行為は保護されません。
提出方法
完全な報告書には次を含めてください。脆弱性の明確な文章による説明、影響を受けるコンポーネントとバージョン、手順を追った再現方法、最小限の概念実証（コードまたはトランザクションハッシュ）、その問題が持つと考える影響、修正案があればその内容です。報告が明確であるほど、トリアージは速く進みます。
件名に**Security**と入れて、報告書を`contact@intention.xyz`へメールで送ってください。暗号化した提出のためのPGP鍵は、プログラム開始時に公開します。それまでは最初のメールを平文で送ってください。最初のやり取りの中で、チームが機微な内容を暗号化されたチャネルへ移します。チームが受領を確認するまで、指摘のいかなる部分も公開しないでください。
セキュリティチームは、すべての提出に2営業日以内に受領を確認します。受領確認では、受け取ったことの確認、不足している情報の照会、トリアージ担当者の割り当てを行います。72時間経っても受領確認が届かない場合は、再送してください。
妥当と確認された指摘は修正の工程に進みます。セキュリティチームは担当のエンジニアリング責任者と協力して修正を出荷し、進捗を定期的に報告者へ共有します。チームから説明の補足や追加の再現手順を求めることがあります。返信は通常1営業日以内に届きます。
修正がデプロイされ、その問題が悪用できなくなった時点で、報告者が提供したアドレスへUSDCで報奨金を支払います。報告者の同意があれば、ポストモーテムおよびその後の公開において報告者をクレジットします。完全なポストモーテムは、公開してもユーザーを残存リスクへ晒さない場合に公開します。
セーフハーバー
上記のルールの範囲内で行われた善意のセキュリティ研究について、Intention Labsが法的措置を取ることはありません。セーフハーバーの約束が対象とするのは、次を満たす研究者です。
* このページのスコープと実施ルールの範囲内に留まること
* 影響の実証に厳密に必要な範囲を超えて、ユーザーデータへアクセス、改変、破壊をしないこと
* 指摘を非公開で報告し、協調的開示のスケジュールに従うこと
* 指摘を私的な利益のために、またはバウンティプログラムの範囲を超えた目的のために悪用しないこと
これらのルールから外れる行為（ユーザーの残高を持ち出す、指摘を人質に金銭を要求する、修正前に公表するなど）は、セーフハーバーの対象外であり、元の指摘が正当かどうかにかかわらず法的措置につながる可能性があります。具体的な法的文言はプログラムの正式開始に合わせて用意し、このページからリンクします。
バウンティプログラムはまだ正式には開いていません。それでも、見つけたものは報告してください。ローンチ前の期間に責任ある形で開示された正当な指摘はすべてこのページの枠組みに従って扱われ、プログラム開始時に同じマトリクスに基づいて報告者へ支払われます。
**メール**：`contact@intention.xyz`。脆弱性の報告は件名に**Security**と入れてください。それ以外（サポートに関する質問、報道、提携、開示ではないプログラムについての質問）は、件名なしで同じアドレスへ送ってください。
時間を割いて目を通してくれたことに感謝します。誠実な研究者が読むたびに、このプロトコルは良くなります。