GitHub正在对其漏洞奖励计划进行一些重大更改，重点是为研究人员提供更好的与GitHub团队的合作体验。2026年7月22日 | 4分钟分享：安全研究社区让GitHub对每个人都更安全。这是我们漏洞奖励计划背后的简单理念。十多年来，来自世界各地的研究人员帮助我们发现和修复漏洞，防止它们被利用，我们一直在努力使这一项目值得他们的时间。今天，我们分享了一些该项目工作机制的重大变化。这些决定是在对我们的项目进行了数月的反思、分析行业现状，以及考虑研究人员体验之后做出的。变化和原因：该项目面临着不断增长的队列。我们已经做出了调整，以适应新的研究人员数量的增加和我们合作的研究人员努力的加速。我们在最近的一篇博客文章中分享了这些变化。这些变化涉及两个方面：减少噪音以便我们能够关注信号，以及建立一个认真的研究人员觉得参与值得的项目。引入常设VIP计划：我们正在为那些持续提供高质量、高影响力工作的合格研究人员正式建立一个常设的私密/仅限邀请的VIP计划。VIP研究人员获得更高的奖励、更快的响应时间以及与我们的安全工程团队更紧密的合作关系。我们的目标是创造一个空间，让深入理解GitHub的研究人员能够直接与我们合作，获得反映他们投入努力的体验。VIP计划奖金表：严重性 奖金 低 $1,000 中 $7,500 高 $20,000 关键 $30,000+ 如何资格：我们将在我们的公共HackerOne页面上发布明确的标准。申请路径是建立在展示出一致的质量之上的。要符合资格，您必须至少完成以下之一：一个关键发现 两个高发现 四个中发现 七个低发现 这里的核心转变在于我们激励的内容：您并不是通过提交更多而获得更多。您是通过提交更好的内容来获得更多。重构的公共奖励表：为了坚定我们上述优先级的变化，我们也必须进行一些能够使其实现的调整。我们正在调整我们的公共程序费率，以适应这种对关系和发现质量的关注，而不是报告数量的转变。我们还将更新为静态奖励——每个严重性水平一个单一、明确的数字，而不是广泛的范围。范围听起来灵活，但实际上会给研究人员带来不确定性，并增加我们团队的工作量。静态奖励在双方设定了明确的期望，我们仍然保留对超出常规工作给予酌情奖金的能力。我们新的公共计划中奖金表：严重性 奖金 低 $250 中 $2,000 高 $5,000 关键 $10,000 这一调整将使我们能够为VIP计划提供更有针对性的关注和更高的奖励，同时仍能使我们的公共计划成为探索的地方，并作为通往VIP计划的引导。提高信号要求：为了减少低努力和AI生成的报告量，我们正在对公共程序实施HackerOne信号要求。尚未达到信号阈值的研究人员在建立履历的过程中将被限制提交数量。这不是对新研究人员的壁垒。HackerOne的平台为未达到阈值的研究人员提供最多四个初始提交，这足以让一个有真实发现的新手展示他们的技能。我们希望保持向整个安全研究社区的开放性；我们只是需要一个基本线，以保持程序对每个人的可行性。保持不变的内容：我们对奖励真实安全研究的承诺没有改变。我们将继续快速付款，清晰沟通，并将研究人员视为他们的合作伙伴。在这些变化生效之前提交的报告将按照之前的奖金结构获得认可。我们将延续老的积压记录，因此只有在2026年7月27日或之后提交的报告将根据新的结构进行评估。展望未来：这是我们正在进行的更广泛演变的一部分。除了奖金重组和VIP计划外，我们还投资于更快的响应时间、更清晰的严重性理由和更多的社区参与。良好的合作关系不仅仅建立在薪酬表之上。您可以在像DEFCON这样的会议上直接与我们互动，您还会通过持续的宣传听到我们的声音。我们期待在安全会议上与研究人员社区互动，建立关系，并继续探索使我们的漏洞奖励计划奖励我们最关心的深思熟虑的研究的方式。安全研究社区是GitHub最大的资产之一。这些变化旨在尊重他们。我们希望建立一个程序