GitHubは、質の高い脆弱性報告を評価し、AI生成レポートを含む低品質な報告を減らすため、バグ報奨金プログラムを変更します。
この変更は2026年7月27日から適用されます。同日より前に提出された報告については、従来の報奨金体系が適用されます。
「正当な報告が増加する一方で、実際のセキュリティ上の影響を示さない提出も急増しています。これには、概念実証(PoC)を伴わない報告、精査に耐えない理論上の攻撃シナリオ、そして既に公開済みの対象外リストでカバーされている内容などが含まれます」と、GitHubのバグ報奨金担当シニアプロダクトセキュリティエンジニアであるJarom Brown氏は説明しています。
VIPプログラムと報奨金体系の変更
GitHubは、高品質かつ高い影響度を持つ発見を継続的に提供する研究者向けに、恒久的で非公開・招待制のVIPプログラムを正式に制度化します。参加者は、より高額な報奨金、より迅速な対応、そしてGitHubのエンジニアリングチームとのより緊密な連携を受けられるようになります。
VIPプログラムの報奨金テーブル(出典: GitHub)
同社によると、参加資格の基準は同社の公開HackerOneページで公表される予定です。参加資格を得るには、以下のいずれか一つの基準を満たす必要があります。すなわち、重大(クリティカル)レベルの発見1件、高(ハイ)レベルの発見2件、中(ミディアム)レベルの発見4件、低(ロー)レベルの発見7件のいずれかです。
公開バグ報奨金プログラムの報奨金体系も再編されます。新しいテーブルでは各深刻度レベルにそれぞれ単一の報奨金額を割り当てることで、研究者にとって分かりやすい期待値を示す一方、GitHubが優れた提出内容に対して裁量的なボーナスを支給できるようにします。
「この調整により、VIPプログラムに対してよりきめ細かな対応と高い報奨金を提供できるようになる一方で、公開プログラムについては研究者が探求を行い、VIPプログラムへの橋渡し役として機能する場であり続けることができます」と、GitHubのプロダクトセキュリティエンジニアであるCatherine Cassell氏は述べています。
研究者向けの新たなシグナル要件
GitHubはまた、低品質な報告やAI生成レポートを減らしつつ、新規研究者にもプログラムを開かれたものとして維持するため、HackerOneのシグナル要件を導入します。この要件の下では、新規参加者は公開プログラムでの実績(シグナル)を確立する間、最初に最大4件まで報告を提出できます。
シグナルの基準を満たしていない研究者については、実績を確立するまでの間、提出できる報告件数に制限が設けられます。
翻訳元: https://www.helpnetsecurity.com/2026/07/23/github-bug-bounty-program-changes/
