GitHub урезает выплаты за баги: ИИ завалил команды безопасности шумными отчетами
GitHub меняет правила своей bug bounty-программы из-за потока слабых и AI-сгенерированных отчетов. The Register пишет, что с 27 июля компания запускает двухуровневую схему: публичная программа станет дешевле, а самые высокие выплаты уйдут в закрытый уровень для проверенных исследователей.
Смысл изменения простой: когда любой человек с чатботом может быстро собрать правдоподобный отчет об уязвимости, команда безопасности тратит больше времени не на исправление багов, а на разбор шума.
Как меняются выплаты
В публичной программе низкая по серьезности находка будет приносить $250 вместо прежних $500-1000. Средние уязвимости ограничат $2000 вместо $5000, высокие — $5000 вместо $20 000, а максимальная выплата за критический баг снизится с $30 000 до $10 000.
Самые крупные суммы останутся для нового закрытого VIP-уровня. Там низкая находка будет стоить $1000, средняя — $7500, высокая — $20 000, а критическая — минимум $30 000. Попасть туда можно будет только по приглашению: GitHub будет смотреть на историю принятых отчетов и качество прошлых находок.
Почему это важно
Эта история не только о тарифах GitHub. Она показывает новую проблему рынка безопасности: ИИ снижает порог входа, но одновременно удешевляет шум. Хороший исследователь может быстрее проверить гипотезу, а слабый участник — быстрее завалить программу полуготовыми или неверными заявками.
GitHub уже ужесточал требования к качеству отчетов и предупреждал против массовых AI-assisted submissions. Теперь компания добавляет экономический фильтр: меньше платить всем подряд и больше вознаграждать тех, кто уже доказал способность приносить реальные уязвимости.
Для независимых исследователей это неприятный сигнал: вход в профессию становится труднее, особенно без репутации. Для компаний — практический урок. Если ИИ-инструменты используются в поиске багов, нужна не только автоматизация, но и система оценки доверия: кто прислал отчет, насколько он воспроизводим и сколько времени команда потратит на проверку.
- theregister.comGitHub slashes public bug bounty payouts as AI report flood buries its security team
- techmeme.comGitHub plans a two-tier bug bounty program that cuts rewards for the public and boosts payouts for invite-only researchers, amid a flood of AI-powered reports
- bounty.github.comGitHub Security
- docs.hackerone.comSeverity | HackerOne Help Center













