GitHub giảm mạnh tiền thưởng bug bounty công khai, chuyển mức cao sang VIP
"GitHub announced that starting July 27, 2026, it will reduce public bug bounty payouts by at least 50% across severity levels, fixing critical public rewards at $10,000 while reserving $30,000+ critical payouts for an invite-only VIP tier. The change is intended to reduce triage noise and reward higher-quality reports, and it follows broader industry pressure from AI-assisted vulnerability discovery and report flooding; existing submissions filed before the cutoff keep prior terms."
Tác động bảo mật chủ yếu nằm ở việc giảm động lực cho báo cáo công khai kém chất lượng và tăng tập trung vào báo cáo có chất lượng/ảnh hưởng. Điểm then chốt: giảm 50% tiền thưởng công khai; Critical cố định $10.000; VIP $30.000+.
Thay đổi có thể giảm chi phí triage và tăng hiệu quả tiếp nhận báo cáo, nhưng cũng có rủi ro làm khó hơn cho nhà nghiên cứu mới tham gia do ngưỡng chương trình và giới hạn số báo cáo thử. Điểm then chốt: mức công khai giảm mạnh; VIP tập trung phần thưởng cao; báo cáo trước hạn giữ nguyên.
GitHub thông báo từ 27/07/2026 sẽ giảm ít nhất 50% tiền thưởng bug bounty công khai theo từng mức độ. Với báo cáo Critical, mức chi trả công khai được cố định ở $10.000 (giảm từ khoảng $20.000–$30.000+), trong khi VIP invite-only sẽ chi trả $30.000+ cho các lỗ hổng Critical. Các báo cáo nộp trước thời điểm cắt sẽ giữ nguyên điều khoản cũ, kể cả những hồ sơ đang trong hàng đợi triage.
GitHub cho biết thay đổi nhằm giảm “noise” và tối ưu quy trình đánh giá, đồng thời tăng tốc phản hồi cho nhà nghiên cứu có uy tín. Chương trình công khai chuyển từ dải linh hoạt sang mức cố định: Low $250, Medium $2.000, High $5.000, Critical $10.000. Hacker News ước tính mức mới thấp hơn khoảng 50% ở Medium/High/Critical và khoảng 59% ở Low so với đáy dải cũ.
Song song, bài viết nhấn mạnh xu hướng AI tạo “candidate findings” rẻ hơn, dễ làm tăng báo cáo kém chất lượng; do đó triage, xác minh, bối cảnh sản phẩm và chứng minh tác động vẫn là các rào cản chính. Với tổ chức, nên chuẩn hóa quy trình xác minh lại và ưu tiên báo cáo có bằng chứng khai thác/ảnh hưởng sản phẩm.