GitHub перетряхивает bug bounty-программу, чтобы разгрести растущую очередь отчётов и сместить фокус с количества на качество. Команда безопасности заметила, что поток заявок растёт, а вместе с ним и шум от слабых или сгенерированных AI тикетов. Теперь главная цель — поощрять глубокие исследования и плотную работу с теми, кто действительно вкладывается в понимание платформы.
Ядро обновления — постоянная VIP-программа для исследователей со стабильным трек-рекордом. Статус VIP даёт прямой контакт с инженерами безопасности и повышенные выплаты: Low — $1 000, Medium — $7 500, High — $20 000, Critical — от $30 000. Порог входа жёстко привязан к качеству: нужно закрыть минимум одно Critical, два High, четыре Medium или семь Low. Критерии выложат на публичной странице в HackerOne. Логика простая: больше платят не за вал, а за реальную критичность находки.
Параллельно публичная программа получает фиксированные и более скромные ставки — Low $250, Medium $2 000, High $5 000, Critical $10 000. Уходят от размытых диапазонов, которые рождали неопределённость и лишнюю переписку. Публичная программа остаётся точкой входа и питает VIP-уровень: сильный отчёт открывает дорогу в приглашённый пул.
Чтобы отсечь лавину AI-сгенерированных и слабых репортов, GitHub вводит требование HackerOne signal. Исследователи без нужного рейтинга получат до четырёх попыток — достаточно, чтобы настоящая уязвимость показала себя. Это не стена для новичков, а фильтр, который не даёт программе захлебнуться.
Все отчёты, поданные до 27 июля 2026 года, обработают по старым условиям. После этой даты работает новая сетка. Команда обещает сохранить быстрые выплаты и партнёрский тон, а также подтянуть время реакции, яснее объяснять severity и активнее общаться вживую — ищите инженеров на DEFCON и других конференциях. GitHub прямо называет сообщество security research своим главным активом, а эти перемены — способ уважить самых настойчивых и талантливых баг-хантеров.