AI 漏洞報告增加審核雜訊，GitHub 公開懸賞減半兼限制低 Signal 帳戶提交

GitHub 嘅漏洞懸賞計劃就嚟大改。iThome 報道，7 月 27 日起，公開計劃各級獎金至少減半，未達 HackerOne 信譽門檻嘅研究員亦只得有限提交機會。表面睇只係減獎金，但同 AI 工具普及一齊睇，改制原因就清楚得多：搵可疑位同寫報告快咗，GitHub 收到嘅報告亦多咗，但每份仍然要逐一驗證，輪候隊伍自然愈排愈長。

公開計劃四級獎金全部下調

新公開價改成固定金額：Low 250 美元、Medium 2,000 美元、High 5,000 美元，Critical 10,000 美元。舊制最低獎金依次係 617、4,000、10,000 同 20,000 美元，所以「至少減半」經逐級對照係成立；Low 減幅接近六成，其餘三級就啱啱減半。固定價亦刪走咗研究員估算回報時嗰段浮動空間，不過 GitHub 話特別出色或影響較大嘅報告仍可能有額外獎金。

較高回報集中去永久化嘅邀請制 VIP 計劃，四級獎金分別係 1,000、7,500、20,000 同 30,000 美元以上，亦會有較快回覆同較直接嘅工程團隊溝通。最新官方公告列出資格門檻：曾交出一個 Critical、兩個 High、四個 Medium 或七個 Low，達成任何一項都有資格獲考慮。不過達標唔代表自動入場，最後仍然由 GitHub 揀人。

圖片：GitHub

Signal 變成新人入口嘅閘口

公開計劃會加入 HackerOne Signal 門檻。Signal 反映研究員過往提交嘅報告有幾可靠，計算會睇最近 365 日嘅紀錄；低過計劃門檻，提交就會當成 trial report。HackerOne 現行文件顯示，少過五份已處理報告嘅新人，每個計劃喺滾動 30 日內最多交四份 trial report，成個平台就最多六份。GitHub 公告只講「最多四份初始提交」，未公開佢會揀邊個 Signal 級別。

呢個安排對真係搵到漏洞嘅新人未算封門，但容錯空間明顯細咗。頭幾份報告如果欠清楚重現步驟、撞正已知無資格項目，或者判斷錯影響範圍，之後再交好料都可能要等限額重設。對靠漏洞懸賞做收入嘅研究員亦有直接影響：公開計劃回報跌咗，要攞返舊制高額獎金，就要先累積獲確認嘅往績，再等 VIP 邀請。

GitHub 對準未驗證結果，冇全面封殺 AI

GitHub 今年 5 月已經講過，湧入嘅雜訊包括冇可用 PoC、只停留喺理論嘅攻擊、早已列明唔受理嘅項目，同埋未經人手驗證就直接送出嘅 AI 結果。官方同時表明接受研究員用 AI、掃描器或靜態分析工具，條件係報告要重現到、證明到實際影響。換句話講，官方冇話低質素報告全部由 AI 生成，亦冇公布積壓數量或 AI 報告比例，現階段只可以視作 GitHub 對改制原因嘅單方面交代。

兩項改動其實各有作用：Signal 門檻壓低欠往績帳戶可以送入嘅數量，公開獎金下調就將預算同較高回報集中去 VIP。漏洞懸賞平台一路靠開放入口吸引更多眼睛，而家開始用研究員信譽、可重現證據同長期合作關係分配審核時間。下一步要睇 GitHub 公開嘅實際 Signal 門檻，同改制後回覆速度有冇真係改善；如果只係少收報告兼少派獎金，資深研究員未必會照單全收。

參考來源

• iThome — GitHub公開漏洞懸賞獎金至少減半，VIP重大漏洞3萬美元起 — original report
• Next chapter: Restructuring GitHub’s bug bounty program — GitHub 最新官方公告，核對公開及 VIP 獎金、資格條件、提交限制同生效安排。
• Raising the bar: Quality, shared responsibility, and the future of GitHub’s bug bounty program — GitHub 早前解釋報告量增加、AI 使用原則、PoC 同實證要求。
• GitHub Bug Bounty Rewards Structure — 核對改制前四個風險級別嘅官方獎金範圍。
• HackerOne Signal Requirements — 確認 Signal 門檻選項、trial report 數量同滾動 30 日限制。
• HackerOne Signal & Impact — 確認 Signal 嘅計算概念、365 日紀錄範圍同生效條件。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。