GitHub rezygnuje z nagród za znalezienie błędu w kodzie. AI robi to już zbyt masowo i niedokładnie, żeby miało to większy sens.
Od lat bug bounty stanowiło jeden z najskuteczniejszych sposobów wyszukiwania luk w zabezpieczeniach. Niezależni badacze analizowali usługi i kod źródłowy GitHuba, a wysokość nagrody zależała od wagi odnalezionej podatności. Firma uznała jednak, że obecny model przestał spełniać swoją rolę. Liczba raportów znacząco wzrosła, ale jednocześnie coraz więcej zgłoszeń wymagało analizy mimo niewielkiej lub zerowej wartości dla zespołów odpowiedzialnych za bezpieczeństwo.
Coraz większa popularność narzędzi opartych na sztucznej inteligencji zaczyna zmieniać sposób działania programów bug bounty. GitHub zdecydował się na gruntowną reformę swojego programu nagród za wykrywanie podatności, ograniczając wysokość wypłat dla większości uczestników. Powodem jest gwałtowny wzrost liczby zgłoszeń, z których wiele – zdaniem firmy – nie wnosi realnej wartości do procesu poprawy bezpieczeństwa.
Nowe zasady zaczną obowiązywać od 27 lipca. Najwyższe wynagrodzenia pozostaną dostępne jedynie dla wybranych ekspertów, natomiast uczestnicy otwartego programu będą musieli liczyć się ze znacznie niższymi stawkami.
Reforma obejmuje nie tylko wysokość wynagrodzeń. GitHub zamierza również ograniczyć liczbę raportów przesyłanych przez osoby rozpoczynające działalność w programie. Początkujący badacze będą mogli zgłaszać jedynie określoną liczbę podatności. Dopiero po udokumentowaniu wartościowych odkryć otrzymają możliwość wysyłania większej liczby raportów. Zdaniem firmy takie rozwiązanie pozwoli odciążyć zespoły odpowiedzialne za ocenę zgłoszeń i przyspieszy analizę rzeczywiście istotnych problemów. Według GitHuba obecny model zaczął bardziej obciążać zespoły bezpieczeństwa, niż realnie poprawiać poziom ochrony platformy.
Zobacz też:
GitHub CoPilot dodawał reklamy do kodu użytkowników.
Microsoft idzie w odstawkę – Niemcy się żegnają.
GitHub musi być uratowany przez Amazona.
