GitHub tái cấu trúc chương trình Bug Bounty: Tập trung vào chất lượng thay vì số lượng

Sau hơn một thập kỷ đồng hành cùng cộng đồng nghiên cứu bảo mật, GitHub vừa công bố những thay đổi mang tính chiến lược trong chương trình Bug Bounty của mình. Mục tiêu cốt lõi của đợt cải tổ này là giảm thiểu các báo cáo kém chất lượng, đồng thời xây dựng một môi trường làm việc chuyên nghiệp và xứng đáng hơn cho các nhà nghiên cứu nghiêm túc.

Ra mắt chương trình VIP dành cho các nhà nghiên cứu chuyên sâu

GitHub chính thức giới thiệu chương trình VIP theo hình thức mời tham gia (invite-only). Đây là không gian dành riêng cho những nhà nghiên cứu có bề dày thành tích, thường xuyên đóng góp các báo cáo có tác động cao. Các thành viên VIP sẽ được hưởng mức tiền thưởng hấp dẫn hơn, thời gian phản hồi nhanh hơn và cơ hội làm việc trực tiếp với đội ngũ kỹ sư bảo mật của GitHub.

Để đủ điều kiện tham gia chương trình VIP, nhà nghiên cứu cần chứng minh năng lực thông qua các cột mốc cụ thể trên nền tảng HackerOne, chẳng hạn như tìm ra ít nhất một lỗ hổng Critical hoặc tích lũy đủ số lượng báo cáo chất lượng ở các mức độ nghiêm trọng khác nhau.

Điều chỉnh cơ cấu tiền thưởng công khai

Song song với chương trình VIP, GitHub cũng cập nhật lại bảng tiền thưởng cho chương trình công khai. Thay vì sử dụng các khoảng giá (range) gây khó khăn cho việc dự đoán, GitHub chuyển sang áp dụng mức tiền thưởng cố định (static payouts) cho từng cấp độ nghiêm trọng. Sự thay đổi này giúp tạo ra kỳ vọng rõ ràng cho cả hai bên, đồng thời cho phép GitHub tập trung nguồn lực tài chính vào những báo cáo có giá trị thực sự.

Nâng cao tiêu chuẩn báo cáo

Nhằm đối phó với tình trạng gia tăng các báo cáo có nỗ lực thấp hoặc được tạo ra bởi AI, GitHub bắt đầu áp dụng yêu cầu về “signal” trên nền tảng HackerOne. Các nhà nghiên cứu mới chưa đạt ngưỡng yêu cầu sẽ bị giới hạn số lượng báo cáo ban đầu. Tuy nhiên, GitHub khẳng định đây không phải là rào cản ngăn chặn người mới, mà là cách để duy trì hiệu quả vận hành của chương trình, đảm bảo các báo cáo có chất lượng được ưu tiên xử lý.

Cam kết dài hạn

GitHub nhấn mạnh rằng các thay đổi này không làm thay đổi cam kết của họ đối với cộng đồng bảo mật. Các báo cáo được gửi trước ngày 27/07/2026 vẫn sẽ được xử lý theo cơ cấu cũ. Trong tương lai, GitHub dự kiến sẽ tiếp tục đầu tư vào việc cải thiện thời gian phản hồi, minh bạch hóa quy trình đánh giá mức độ nghiêm trọng và tăng cường tương tác trực tiếp với cộng đồng tại các hội thảo bảo mật lớn như DEFCON.

Nguồn tham khảo: GitHub Blog