GitHub cắt giảm tiền thưởng Bug Bounty công khai, ưu tiên nhóm VIP

Từ ngày 27/7/2026, GitHub sẽ áp dụng khung tiền thưởng mới cho chương trình bug bounty công khai, với mức chi trả giảm ít nhất 50% ở tất cả các cấp độ nghiêm trọng. Cụ thể, các lỗ hổng mức Critical sẽ giảm từ khung 20.000 – 30.000 USD xuống còn mức cố định 10.000 USD. Ngược lại, nhóm nghiên cứu VIP (chỉ dành cho người được mời) sẽ nhận được mức thưởng từ 30.000 USD trở lên.

Cơ cấu tiền thưởng mới

GitHub chuyển từ mô hình dải thưởng linh hoạt sang mức thanh toán cố định để giảm bớt sự không chắc chắn và tối ưu hóa quy trình triage:

• Low: 250 USD (giảm từ 617 – 2.000 USD)
• Medium: 2.000 USD (giảm từ 4.000 – 10.000 USD)
• High: 5.000 USD (giảm từ 10.000 – 20.000 USD)
• Critical: 10.000 USD (giảm từ 20.000 – 30.000 USD+)

Các báo cáo được gửi trước ngày 27/7 vẫn sẽ được áp dụng chính sách chi trả cũ. GitHub khẳng định mục tiêu của thay đổi này là giảm thiểu “nhiễu” từ các báo cáo kém chất lượng, đồng thời tạo điều kiện để các nhà nghiên cứu uy tín nhận được phản hồi nhanh hơn và phần thưởng xứng đáng hơn.

Tác động của AI trong phát hiện lỗ hổng

Động thái của GitHub diễn ra trong bối cảnh các công cụ AI đang làm thay đổi cuộc chơi bảo mật. Việc tạo ra các báo cáo lỗ hổng tiềm năng trở nên dễ dàng và rẻ hơn bao giờ hết. Các đội ngũ bảo mật nội bộ hiện nay có thể sử dụng AI để quét mã nguồn, xác thực vấn đề và vá lỗi ngay trong quy trình phát triển (pipeline) trước khi các báo cáo từ bên ngoài kịp gửi đến.

Điển hình như Google vừa giới thiệu mô hình Gemini 3.5 Flash Cyber, một mô hình AI chuyên biệt giúp tìm kiếm và vá lỗi phần mềm tự động. Trong các thử nghiệm nội bộ, mô hình này đã chứng minh khả năng tìm ra các lỗ hổng RCE (Remote Code Execution) phức tạp trong thời gian ngắn.

Thách thức cho cộng đồng nghiên cứu

Việc GitHub thắt chặt quy định và giảm thưởng công khai có thể gây khó khăn cho những nhà nghiên cứu mới chưa có lịch sử hoạt động trên HackerOne. Tuy nhiên, theo quan điểm của nhiều chuyên gia, giá trị thực sự của con người hiện nay nằm ở khả năng xâu chuỗi các lỗ hổng, hiểu rõ logic nghiệp vụ và chứng minh tác động thực tế của các cuộc tấn công – những điều mà AI vẫn chưa thể thay thế hoàn toàn.

GitHub nhấn mạnh rằng họ vẫn hoan nghênh các nghiên cứu có sự hỗ trợ của AI, nhưng chất lượng của báo cáo và khả năng xác thực mới là yếu tố quyết định phần thưởng, thay vì số lượng báo cáo gửi về.

Nguồn tham khảo: The Hacker News