Microsoft、Dynamics 365・Power Platformのバグ報奨金を最大6万ドルへ　クロステナント脆弱性を重点評価

Microsoftは2026年9月14日、「Microsoft Dynamics 365 and Power Platform Bounty Program」の報奨金体系を更新し、対象となる脆弱性への報奨金を1,250ドルから最大6万ドルへ拡大しました。

今回の改定では、複数企業が同じクラウド基盤を利用するDynamics 365やPower Platformで、別テナントのデータや権限へ到達できる「クロステナント脆弱性」を高影響シナリオとして明確に位置付けています。

Criticalに分類されるクロステナント脆弱性には通常報奨金へ100％の倍率、Importantでは50％の倍率が適用されます。

AI関連では、Copilotを含む対象サービスで、モデルの推論を悪用して他ユーザーのデータ取得や権限操作につながる「Inference Manipulation」や「Inferential Information Disclosure」が対象となり、Criticalかつ高品質な報告には最大3万ドルが設定されています。

一方、単にモデルへプロンプトインジェクションできるだけの事象や、システムプロンプトの取得、ハルシネーション、利用者自身しか影響を受けないAI挙動は原則として報奨金対象外です。

MicrosoftのDynamics 365・Power Platformバグバウンティ更新のサマリー

確認できている内容：

• Microsoftは2026年9月14日、Dynamics 365 and Power Platform Bounty Programの報奨金体系を更新しました。
• 公式プログラムページでは報奨金を1,250～6万ドルとしています。
• Microsoftの裁量により、脆弱性の深刻度、影響、報告品質に応じて6万ドルを上回る報奨金が支払われる場合もあります。
• 対象はDynamics 365のオンライン製品、一部オンプレミス製品、Power Apps、Power Automate、Power Pages、Power Admin、AI Builder、Dataverse、Microsoft Copilot Studioなどです。
• Criticalのクロステナント脆弱性には+100％の報奨金倍率が設定されています。
• Importantのクロステナント脆弱性は+50％です。
• Power Platformの別サービスを入口としてDataverseの権限を昇格できる脆弱性には+20％が設定されています。
• Dataverse Plugin Sandboxからホスト環境へ脱出する「guest-to-host」脆弱性も+20％です。
• AI関連ではInference ManipulationとInferential Information Disclosureが対象です。
• AI系のCritical・高品質報告の基本報奨金は最大3万ドルです。
• 一般的なコードインジェクションや安全でないデシリアライズでは最大2万ドルです。
• SQLインジェクション、コマンドインジェクション、SSRF、不適切なアクセス制御、認証不備などでは最大1万2,000ドルです。
• 対象になるには原則として最新の完全パッチ済み環境で再現し、CriticalまたはImportantのセキュリティ影響を示す必要があります。
• 顧客データへのアクセス、他人のテナントへの無断テスト、DoS、フィッシングなどは禁止されています。

項目	内容
更新日	2026年9月14日
プログラム	Microsoft Dynamics 365 and Power Platform Bounty Program
報奨金	1,250～60,000ドル
最高額を上回る支払い	Microsoftの裁量で可能
Criticalクロステナント	+100％
Importantクロステナント	+50％
Dataverseへの別経路からの権限昇格	+20％
Dataverse Plugin Sandbox脱出	+20％
AI Critical・高品質報告	最大30,000ドル
コードインジェクション	最大20,000ドル
SQLi／Command Injection／SSRFなど	最大12,000ドル
対象条件	最新・完全パッチ済み、CriticalまたはImportant
報告先	MSRC Researcher Portal

9月14日に「報奨金体系」とクロステナント評価を更新

Microsoftの公式プログラムページには変更履歴が掲載されており、2026年9月14日の更新内容として、

• awards structureの更新
• cross tenant High Impact Scenarioの更新

が記載されています。

プログラム自体は2019年にDynamics 365向けとして開始され、2021年にPower Platformへ対象を拡大しました。

その後、Power Pages、Power Admin、Copilot Studioなど対象サービスを順次追加し、2025年4月にはAI Bounty Awardも導入しています。

今回の改定は新しいバグバウンティ制度の創設ではなく、既存のDynamics 365／Power Platform向けプログラムの報奨金と高影響シナリオを再整理したものです。

最大6万ドル、Criticalのクロステナント脆弱性を高く評価

Microsoft公式ページでは、通常の報奨金範囲を1,250～6万ドルとしています。

高影響シナリオの中で最も大きい倍率が適用されるのが、Criticalに分類されるクロステナント脆弱性です。

報奨金倍率は次のとおりです。

高影響シナリオ	追加倍率
Criticalのクロステナント脆弱性	+100％
Importantのクロステナント脆弱性	+50％
Power Platformの別サービスを経由したDataverse権限昇格	+20％
Dataverse Plugin Sandboxのguest-to-host escape	+20％

クロステナントとは、ある顧客・組織のテナントから、本来分離されている別の顧客テナントへ影響が及ぶ状態を指します。

Dynamics 365やPower Platformは複数の企業・組織が同じクラウドサービス基盤を利用するマルチテナント型サービスです。

そのため、テナント間の分離を破り、

• 別企業のデータを取得する
• 別テナントの管理機能を操作する
• 権限のないDataverseレコードへアクセスする
• 他組織の業務処理へ影響する

といった脆弱性は、単一テナント内の問題より大きな影響につながります。

Microsoftが今回、クロステナントのCriticalに100％の倍率を設定したのは、こうしたテナント分離の問題を優先的な調査対象としていることを示しています。

AI脆弱性は最大3万ドル

Dynamics 365とPower Platformでは、CopilotやAI Builder、Copilot StudioなどAI機能の利用範囲が広がっています。

MicrosoftはAI関連の報奨金を別枠で設定しており、主に次の2種類を対象としています。

• Inference Manipulation
• Inferential Information Disclosure

Criticalで報告品質がHighと評価された場合、基本報奨金は最大3万ドルです。

AIセキュリティ影響	Critical	Important
Inference Manipulation	最大30,000ドル	最大20,000ドル
Inferential Information Disclosure	最大30,000ドル	最大20,000ドル

報告品質がMedium、Lowの場合は報奨金も低くなります。

AI脆弱性もCriticalまたはImportantである必要があり、単にAIモデルの出力がおかしい、意図しない回答を生成したというだけでは対象になりません。

「プロンプトインジェクションできた」だけでは対象外

MicrosoftはAI向けの脆弱性評価基準で、Prompt Injectionそのものではなく、結果としてどのようなセキュリティ影響が生じるかを重視しています。

例えば、プロンプトインジェクションによって、

• 他ユーザーのデータを窃取できる
• 他ユーザーの権限で操作できる
• ユーザー操作なしで特権アクションを実行できる

場合はCriticalとして扱われる可能性があります。

一方、

• 攻撃者自身のセッションにしか影響しないプロンプトインジェクション
• モデルのハルシネーション
• システムプロンプトの一部を取得するだけの問題
• コンテンツ上の不適切な回答

は、今回のバグバウンティでは原則として対象外です。

MicrosoftのAI Severity Classificationでは、ゼロクリックで他ユーザーのデータを流出させたり、他ユーザーの権限で操作したりできるPrompt InjectionをCriticalとしています。

一方、単にモデルの出力を操作できるだけのケースは、セキュリティ脆弱性ではなくコンテンツ関連の問題として別に評価します。

「システムプロンプトの抽出」もバグバウンティ対象外

MicrosoftはAI向け基準で、サービスと対話することによりシステムプロンプトを抽出・再構成できること自体は脆弱性とはみなさないと明記しています。

今回のDynamics 365／Power Platform向けプログラムでも、

• システムプロンプトやメタプロンプトの取得
• AIのハルシネーション
• AI生成コンテンツ上の問題

は通常のバグバウンティ対象外です。

企業側でも、AIセキュリティを評価するときに「プロンプトを突破できたか」だけを見るのではなく、

• 顧客データへ到達したか
• 権限境界を越えたか
• 他ユーザーへ影響したか
• 本来許可されない操作を実行したか

という実際のセキュリティ境界を基準に評価する考え方が参考になります。

コードインジェクション・デシリアライズは最大2万ドル

AI以外の一般的な脆弱性についても報奨金表が更新されています。

最も高い基本報奨金が設定されているのは、

• Deserialization of Untrusted Data
• Code Injection

です。

Criticalかつ高品質な報告では最大2万ドルです。

次に、

• Authentication Issues
• Information Disclosure
• SQL Injection
• Command Injection
• SSRF
• Improper Access Control

はCritical・High Qualityで最大1万2,000ドルです。

XSS、CSRF、Web Security Misconfiguration、Cross Origin Access Issues、Improper Input Validationでは最大8,000ドルとなっています。

脆弱性カテゴリ	Critical・High Qualityの最大額
安全でないデシリアライズ	20,000ドル
Code Injection	20,000ドル
認証不備	12,000ドル
Information Disclosure	12,000ドル
SQL／Command Injection	12,000ドル
SSRF	12,000ドル
Improper Access Control	12,000ドル
XSS	8,000ドル
CSRF	8,000ドル
Web Security Misconfiguration	8,000ドル
Cross Origin Access Issues	8,000ドル
Improper Input Validation	8,000ドル

高影響シナリオに該当すれば、ここへクロステナントなどの倍率が適用されます。

ただし、1件の報告が複数の報奨金に該当する場合、Microsoftは「単一で最も高い適格報奨金」を支払うとしています。

対象はDynamics 365の主要クラウド製品とPower Platform

今回のバグバウンティでは、Dynamics 365の主要なオンラインアプリケーションが広く対象になっています。

主な対象は次のとおりです。

• Dynamics 365 Sales
• Customer Service
• Field Service
• Human Resources
• Finance
• Project Operations
• Commerce
• Remote Assist
• Customer Insights
• Business Central
• Contact Center
• Customer Voice
• Electronic Invoicing
• Guides
• Intelligent Order Management
• Supply Chain Management

さらに一部のオンプレミス製品も対象です。

• Dynamics 365 for Finance + Operations
• Microsoft Dynamics CRM
• Microsoft Dynamics GP
• Microsoft Dynamics NAV
• Microsoft Dynamics SL

Power Platform側では、

• Power Apps
• Power Automate
• Microsoft Copilot Studio
• Power Pages
• Power Admin
• AI Builder
• Dataverse

が対象です。

サービス内に含まれるサードパーティ製・オープンソースコンポーネントについても、対象サービスへ適格なセキュリティ影響を実証できる場合は報奨金対象になるとMicrosoftは説明しています。

最新・完全パッチ済み環境での再現が条件

バグバウンティの対象となるには、Microsoftが示す複数の条件を満たす必要があります。

基本条件は、

• CriticalまたはImportantであること
• 対象製品・サービスの最新かつ完全にパッチ適用されたバージョンで再現すること
• セキュリティ影響を直接かつ再現可能な形で示すこと

です。

報告時にはMSRC Researcher Portalを利用し、

• Power／Dynamics Environment ID
• 再現に使用したアカウントのユーザー名
• 高影響シナリオに該当するか
• 再現手順
• セキュリティ影響

などを提示することが求められています。

古い未修正バージョンだけで再現する脆弱性は原則として対象外です。

顧客テナントへの無断テストは禁止

クロステナント脆弱性へ高額報奨金が設定されていますが、実在する他社テナントへ侵入して影響を実証してよいわけではありません。

MicrosoftのSecurity Testing Rules of Engagementでは、

• 自分が所有しない顧客データへのアクセス
• 許可のない顧客テナントのテスト
• 他人の認証情報の取得・利用
• DoS
• 大量トラフィックを発生させるテスト
• フィッシングやソーシャルエンジニアリング
• 脆弱性発見後の横展開や内部探索

などを禁止しています。

クロステナントのテストでは、自分で複数のテストテナントを用意する方法が推奨されています。

誤って権限のないデータへアクセスした場合は、その時点でテストを停止し、MSRCへ通知して取得データを削除する必要があります。

ユーザー設定ミスやユーザー作成アプリは原則対象外

Microsoftは、製品そのもののセキュリティ問題と、利用者側の設定やアプリ設計による問題を明確に分けています。

原則として報奨金対象外となる例には、

• ユーザーが作成したPower Appsなどに由来する脆弱性
• 管理者によるセキュリティ設定ミス
• 過度なユーザー操作が必要な問題
• DoS
• Cookie Replay
• Subdomain Takeover
• Blind XSS
• Dependency Confusion
• 公開済みで既知の脆弱性

などがあります。

Power Platformはローコード／ノーコードで利用者自身がアプリケーションを作成できます。

そのため、Microsoftプラットフォーム側の脆弱性なのか、自社が作成したアプリの権限・入力検証の問題なのかは分けて判断する必要があります。

企業にとっては「クロステナント」と「Dataverse境界」が注目点

今回のバグバウンティ更新は研究者向け制度ですが、Dynamics 365やPower Platformを利用する企業にもセキュリティ設計上の論点があります。

Microsoftが高影響シナリオとして明示したのは、

• テナント境界
• Dataverseのアクセス制御
• Plugin Sandboxの分離
• AIによる他ユーザーへの影響

です。

企業側でも、これらは優先的に確認できます。

• Power AppsやPower AutomateからDataverseへ不要な権限が渡っていないか
• サービスプリンシパルやコネクタに過剰な権限を与えていないか
• Power Platformの環境を開発・検証・本番で分離しているか
• Dataverseのセキュリティロールを定期的に確認しているか
• Copilotがアクセスできるデータソースを把握しているか
• AI機能を通じて別ユーザーのデータが取得できないか評価しているか
• Power Pagesで匿名アクセス可能なテーブルや列を棚卸ししているか
• テナント間連携や外部共有を把握しているか
• 独自Power Appsの脆弱性をMicrosoftの責任範囲と混同していないか

Microsoftのバグバウンティが高く評価している領域は、クラウドサービス側で大きな顧客影響につながるセキュリティ境界でもあります。

Power Platformを企業内で広く利用している場合は、Microsoft側の脆弱性対策だけでなく、自社テナント内の権限設計やガバナンスも並行して確認する必要があります。

AIバグバウンティの基準は企業のAIセキュリティ評価にも参考になる

MicrosoftはAI関連の脆弱性について、「モデルを意図どおり動かせなかった」という現象ではなく、結果としてどのセキュリティ境界が破られたかを基準にしています。

これは企業がCopilotやAIエージェントを評価する場合にも応用できます。

例えば、

• Prompt Injectionが成立したか

だけではなく、

• 他ユーザーの機密情報を取得できたか
• 攻撃者に許可されていないツールを実行できたか
• 他ユーザーの権限で業務処理を実行できたか
• Dataverseや外部SaaSへのアクセス権限を越えられたか

まで検証する方が実際のリスクを評価できます。

AIセキュリティの企業向け論点は、AIセキュリティとは？企業が確認すべきリスクと対策でも整理しています。

出典

• Microsoft Dynamics 365 and Power Platform Bounty Program – Microsoft Security Response Center
• Microsoft Vulnerability Severity and Content Classifications for AI Systems – Microsoft Security Response Center
• Microsoft Security Testing Rules of Engagement – Microsoft Security Response Center
• Microsoft Bounty Guidelines – Microsoft Security Response Center