GitHub реструктурирует Bug Bounty: два трека для борьбы с AI-отчётами

GitHub объявил о реструктуризации программы Bug Bounty, разделив её на два трека из-за наплыва отчётов, сгенерированных искусственным интеллектом. С 1 мая 2025 года программа будет состоять из открытого для всех желающих трека и пригласительного VIP-трека с более высокими выплатами. Это решение призвано снизить нагрузку на команду безопасности, которая столкнулась с лавиной автоматически созданных отчётов, часто некачественных или ложных. Новая структура позволит GitHub эффективнее распределять ресурсы и привлекать лучших исследователей для защиты критической инфраструктуры.

Два уровня программы Bug Bounty

GitHub разделяет программу Bug Bounty на два независимых уровня, каждый со своими правилами и выплатами. Первый уровень — открытая программа, доступная любому исследователю безопасности. Она охватывает публичные репозитории и сервисы GitHub, такие как GitHub Pages, Actions и Packages. Выплаты в открытой программе остаются на стандартном уровне: от 100 до 30 000 долларов США в зависимости от серьёзности уязвимости. Второй уровень — пригласительная VIP-программа, доступная только проверенным исследователям. В ней выплаты в среднем в 3–4 раза выше, а фокус сделан на критически важные компоненты инфраструктуры GitHub, включая системы аутентификации, базы данных и механизмы деплоя. Минимальная выплата в VIP-программе стартует от 10 000 долларов, а максимальная может достигать 100 000 долларов за критическую уязвимость, позволяющую получить полный контроль над инфраструктурой. GitHub также ввёл бонусы за скорость и качество отчётов: если исследователь предоставляет готовый эксплойт или патч, выплата может быть увеличена на 20%.

Почему GitHub решил изменить программу?

В последние годы GitHub, как и многие другие платформы, столкнулся с резким увеличением числа отчётов об уязвимостях, созданных с помощью ИИ. Инструменты вроде ChatGPT и специализированных генераторов кода позволяют автоматически находить потенциальные проблемы и отправлять отчёты без глубокого анализа. По данным GitHub, количество отчётов выросло на порядок, при этом доля действительно критических уязвимостей осталась прежней. Это создаёт дополнительную нагрузку на команду модераторов, которые тратят значительное время на проверку ложных или некачественных заявок. Вместо того чтобы просто ужесточать фильтры, GitHub решил изменить саму структуру программы, создав премиум-уровень для наиболее ценных исследователей. Такое разделение позволит более эффективно распределять ресурсы между обработкой массовых отчётов и глубоким анализом сложных уязвимостей. Открытая программа остаётся основным каналом для сообщества, а VIP-трек станет инструментом для привлечения лучших специалистов.

Как это повлияет на исследователей и компании

Реструктуризация затронет несколько групп. Для обычных исследователей безопасности ничего не меняется: они могут продолжать участвовать в открытой программе. Однако теперь у них появится стимул повышать качество отчётов, чтобы получить приглашение в VIP-трек. Для профессиональных охотников за багами это возможность получать значительно более высокие вознаграждения за работу над самыми сложными задачами. Для компаний, использующих GitHub, изменения означают повышение безопасности критической инфраструктуры, так как VIP-программа привлечёт лучших специалистов. Однако в краткосрочной перспективе возможно некоторое замедление обработки отчётов из открытой программы, пока команда адаптируется к новому процессу. Российские и СНГ-исследователи также могут участвовать в программе. GitHub не вводил географических ограничений, хотя выплаты осуществляются через партнёрские платформы, которые могут иметь региональные особенности. При этом важно учитывать санкционные ограничения: исследователи из стран, находящихся под санкциями США, могут столкнуться с трудностями при получении выплат.

Какие технические детали и финансовые аспекты?

Новая структура программы Bug Bounty включает чёткое разграничение областей ответственности. Открытая программа охватывает все публичные репозитории GitHub, GitHub Pages, Actions, Packages и другие общедоступные сервисы. VIP-программа сфокусирована на внутренней инфраструктуре GitHub: системах аутентификации, базах данных, механизмах деплоя и других компонентах, недоступных в открытом коде. Финансовые условия также различаются. В открытой программе выплаты остаются на прежнем уровне: до 30 000 долларов за Remote Code Execution (RCE) в критическом сервисе. В VIP-программе выплаты начинаются от 10 000 долларов и могут достигать 100 000 долларов за уязвимость, позволяющую получить полный контроль над инфраструктурой. GitHub также ввёл бонусы за скорость и качество отчётов: если исследователь предоставляет готовый эксплойт или патч, выплата может быть увеличена на 20%.

Что будет дальше?

Новая структура вступает в силу с 1 мая 2025 года. GitHub планирует в течение первого квартала проанализировать эффективность изменений и, возможно, скорректировать условия. Ожидается, что другие крупные платформы, такие как GitLab или Microsoft, также могут последовать примеру GitHub, чтобы справиться с наплывом AI-отчётов. В долгосрочной перспективе разделение программ Bug Bounty на открытые и пригласительные может стать стандартом индустрии. Это позволит платформам сохранять массовость для поиска простых уязвимостей и одновременно обеспечивать глубокий аудит критических систем силами лучших экспертов.

Итог

Реструктуризация программы Bug Bounty от GitHub — это ответ на вызовы времени, когда ИИ-инструменты меняют ландшафт кибербезопасности. Разделение на открытый и VIP-треки позволяет компании эффективнее распределять ресурсы и привлекать лучших исследователей для защиты критической инфраструктуры. Для сообщества это сигнал, что качество отчётов становится важнее количества, а для индустрии — возможный новый стандарт организации программ поиска уязвимостей.