• GitHub将于2026年7月27日推出两级（公开和私有）漏洞赏金计划
  • 这一变化是为了应对越来越多质量不高、由AI生成的报告
  • VIP研究人员每份报告的收入大约能多出3到4倍

GitHub已确认计划将其漏洞赏金计划升级为两级体系，新体系将从2026年7月27日起对提交的报告生效。

按照新方案，这家微软旗下的编码平台会在一个报酬更高的仅限邀请计划下面，再加一个报酬较低的公开计划，面向更广泛的研究社区。

产品安全工程师 Catherine Cassell 表示，这一调整是针对越来越多积压的敷衍了事、质量低下以及AI生成的报告而做出的。

GitHub 对 AI 生成的漏洞报告颇有怨言

GitHub 对 AI 生成的漏洞报告颇有怨言

在这个新的公开项目中，GitHub 将把按区间发放的奖金改为每个严重等级一个固定金额，低、中、高、严重四个等级分别对应 250 美元、2,000 美元、5,000 美元和 10,000 美元。Cassell 表示，这样研究人员就能提前知道一个有效发现值多少钱，内部人员也不用再头疼该把一份报告定在区间的哪个位置了。

值得注意的是，赔付金额比之前低得多，此前的赔付区间分别为500至1000美元、2000至5000美元、5000至20000美元和10000至30000美元。

参与第二种计划的受邀VIP研究员，其收入大约是其他方案研究员的3到4倍，具体取决于漏洞的严重程度。

GitHub 还对新研究人员增加了 HackerOne 信誉信号要求，给他们四次机会来“积累战绩”——这可能是应对越来越多 AI 生成报告的又一举措，这类报告通常质量不高。

“我们希望打造一个能吸引我们重视的研究的项目，营造一种能体现我们对待这项工作认真态度的体验，并守护好研究人员每次提交报告时给予我们的信任，”Cassell总结道。