- GitHubは2026年7月27日より二段階（パブリックおよび非公開）のバグバウンティ制度を開始
- 低品質なAI生成レポートの増加を受けた変更
- VIP研究者はレポート1件あたり約3~4倍の報酬を得られる見込み
GitHubは、バグバウンティプログラムを二段階制へと発展させる計画を明らかにしました。この変更は、2026年7月27日以降に提出されるレポートから適用されます。
新制度では、Microsoft傘下のコーディングプラットフォームであるGitHubは、より広い研究者コミュニティに開放された報酬額の低いパブリックプログラムを、報酬額の高い招待制限定プログラムの下に追加する形になります。
プロダクトセキュリティエンジニアのCatherine Cassell氏は、説明の中で、今回の変更は低クオリティで手抜きの多いAI生成レポートが積み重なる問題への対応であると述べています。
GitHub、AI生成のバグレポートに苦言
新しいパブリックプログラムでは、GitHubは支払い額の幅を撤廃し、深刻度ごとに単一の金額を設定します。具体的には、低・中・高・重大の各深刻度に対してそれぞれ$250、$2,000、$5,000、$10,000となります。Cassell氏によれば、これにより研究者は有効な発見がどれほどの価値を持つかを事前に把握でき、社内担当者にとってもレポートが金額幅のどこに位置するかを判断する手間が減るといいます。
なお、これらの支払い額は従来と比べてかなり低くなっています。これまでの金額幅は$500~$1,000、$2,000~$5,000、$5,000~$20,000、$10,000~$30,000でした。
もう一方の招待制プログラムに招かれたVIP研究者は、バグの深刻度に応じて、通常プログラムの研究者よりも約3~4倍多い報酬を得ることになります。
GitHubはまた、新規研究者向けにHackerOneのシグナル要件を追加し、彼らに「実績を築く」機会を4回与えるとしています。これも、価値が低くなりがちなAI生成レポートの増加を受けたもう一つの対応とみられます。
Cassell氏は「私たちは、自分たちが評価する研究を引き寄せ、この取り組みをどれほど真剣に受け止めているかを反映した体験を作り出し、研究者がレポートを提出するたびに私たちに寄せてくれる信頼に応えられるようなプログラムを築きたいと考えています」と結んでいます。
