Назад
23 июля 2026 г. в 18:00 GitHub Security AI Bug Bounty The Register / Techmeme

GitHub урезает выплаты за баги: ИИ завалил команды безопасности шумными отчетами

GitHub урезает выплаты за баги: ИИ завалил команды безопасности шумными отчетами

GitHub меняет правила своей bug bounty-программы из-за потока слабых и AI-сгенерированных отчетов. The Register пишет, что с 27 июля компания запускает двухуровневую схему: публичная программа станет дешевле, а самые высокие выплаты уйдут в закрытый уровень для проверенных исследователей.

Смысл изменения простой: когда любой человек с чатботом может быстро собрать правдоподобный отчет об уязвимости, команда безопасности тратит больше времени не на исправление багов, а на разбор шума.

Как меняются выплаты

В публичной программе низкая по серьезности находка будет приносить $250 вместо прежних $500-1000. Средние уязвимости ограничат $2000 вместо $5000, высокие — $5000 вместо $20 000, а максимальная выплата за критический баг снизится с $30 000 до $10 000.

Самые крупные суммы останутся для нового закрытого VIP-уровня. Там низкая находка будет стоить $1000, средняя — $7500, высокая — $20 000, а критическая — минимум $30 000. Попасть туда можно будет только по приглашению: GitHub будет смотреть на историю принятых отчетов и качество прошлых находок.

Почему это важно

Эта история не только о тарифах GitHub. Она показывает новую проблему рынка безопасности: ИИ снижает порог входа, но одновременно удешевляет шум. Хороший исследователь может быстрее проверить гипотезу, а слабый участник — быстрее завалить программу полуготовыми или неверными заявками.

GitHub уже ужесточал требования к качеству отчетов и предупреждал против массовых AI-assisted submissions. Теперь компания добавляет экономический фильтр: меньше платить всем подряд и больше вознаграждать тех, кто уже доказал способность приносить реальные уязвимости.

Для независимых исследователей это неприятный сигнал: вход в профессию становится труднее, особенно без репутации. Для компаний — практический урок. Если ИИ-инструменты используются в поиске багов, нужна не только автоматизация, но и система оценки доверия: кто прислал отчет, насколько он воспроизводим и сколько времени команда потратит на проверку.

Ещё новости

Anthropic показала Claude Duet — агента, который не ждёт команды
21 октября 2026 г.
Anthropic показала Claude Duet — агента, который не ждёт команды

Anthropic открыла исследовательский предварительный доступ к Claude Duet — отдельному приложению, где Claude должен сам приносить пользователю задачи, выполнять поручения и продолжать работу в его отсутствие. Компания подчёркивает: перед действиями от имени человека агент запрашивает подтверждение.

PHP закрыла две критические RCE-уязвимости: обновиться нужно сразу
21 октября 2026 г.
PHP закрыла две критические RCE-уязвимости: обновиться нужно сразу

Команда PHP выпустила обновления для двух критических уязвимостей, допускающих удалённое выполнение кода без аутентификации. Патчи уже доступны для поддерживаемых веток 8.2–8.5; временные настройки могут лишь снизить риск, но не заменить обновление.

Google тестирует ИИ на собеседованиях — но это пока пилот
21 октября 2026 г.
Google тестирует ИИ на собеседованиях — но это пока пилот

Google проводит пилот по использованию ИИ в собеседованиях, сообщает Business Insider. Для инженеров-программистов компания также собирается проверять владение ИИ-инструментами — это заявление представителя Google, а не описание уже действующего правила для всех.

NVIDIA Sentry вынесла контроль ИИ-агентов за пределы сервера
21 октября 2026 г.
NVIDIA Sentry вынесла контроль ИИ-агентов за пределы сервера

NVIDIA представила Sentry — слой контроля ИИ-агентов на DPU BlueField-4, отдельный от хоста, где работает сам агент. Идея — проверять доступ к моделям, инструментам и данным даже при компрометации сервера; это референсная архитектура, а не готовая защита по умолчанию.

Claude спроектировал белки против яда скорпионов — но антидота пока нет
21 октября 2026 г.
Claude спроектировал белки против яда скорпионов — но антидота пока нет

Anthropic сообщает, что Claude помог спроектировать 211 минибелков против нейротоксинов скорпионов; 17 кандидатов подтвердили связывание в двух независимых лабораторных тестах. Это ранний этап разработки, а не готовое противоядие.

Gemini в машине получит доступ к Gmail и фото — но не в ЕС
21 октября 2026 г.
Gemini в машине получит доступ к Gmail и фото — но не в ЕС

Google начала развёртывать Personal Intelligence для Gemini в Android Auto. С разрешения пользователя ассистент сможет искать детали в Gmail, календаре, фото, картах, YouTube и Search, но функция пока не доступна в ЕЭЗ.

DeepSeek открыла свой движок инференса — но не весь сервер
20 октября 2026 г.
DeepSeek открыла свой движок инференса — но не весь сервер

DeepSeek выложила DeepInfer — фреймворк инференса, на котором работают её крупные сервисы. Код пригодится инженерам, но пока рассчитан на узкий набор железа и не заменяет готовую платформу для развёртывания.

Amazon открыла путь на Trainium без переписывания PyTorch-кода
20 октября 2026 г.
Amazon открыла путь на Trainium без переписывания PyTorch-кода

Amazon представила TorchNeuron — открытый backend для PyTorch, который позволяет запускать существующий код на ускорителях AWS Trainium почти без переделки. Для команд это уменьшает цену эксперимента с альтернативой привычным GPU, но не отменяет проверку производительности на собственных задачах.

Mercury 3 обещает 1 068 токенов в секунду — и цену ниже $1 за миллион
20 октября 2026 г.
Mercury 3 обещает 1 068 токенов в секунду — и цену ниже $1 за миллион

Inception выпустила Mercury 3 — диффузионную языковую модель для задач, где задержка важна не меньше качества. Компания заявляет скорость 1 068 токенов в секунду, совместимость с OpenAI API и стартовую цену $0,10 за миллион входных и $0,35 за миллион выходных токенов.

Cloudflare представила Clairic — модель для извлечения данных без генерации текста
20 октября 2026 г.
Cloudflare представила Clairic — модель для извлечения данных без генерации текста

Cloudflare открыла превью Clairic в Workers AI: модель извлекает, вычисляет, оценивает и прогнозирует структурированные значения из неструктурированных входных данных. Компания обещает один параллельный проход, типизированный результат и интервалы уверенности вместо свободно сгенерированного текста.

Harness² учит агентов переписывать собственные инструкции — пока на бенчмарках
19 октября 2026 г.
Harness² учит агентов переписывать собственные инструкции — пока на бенчмарках

Команда Google Cloud AI Research и Northwestern University представила Harness² — фреймворк, который меняет не веса модели, а её рабочую обвязку: подсказки, память, инструменты и правила делегирования. Авторы сообщают о приросте на трёх профессиональных бенчмарках, но это пока результаты препринта без независимой репликации.

Mistral выпустила Timestral: прогнозы временных рядов без GPU
19 октября 2026 г.
Mistral выпустила Timestral: прогнозы временных рядов без GPU

Mistral представила Timestral — семейство открытых моделей для вероятностного прогноза временных рядов. Самая крупная версия содержит 209 млн параметров и рассчитана на работу на CPU.