GitHub verlaagt beloningen voor het melden van kwetsbaarheden

In dit artikel:

GitHub verlaagt vanaf 27 juli de uitbetalingen in zijn openbare bugbountyprogramma voor beveiligingsonderzoekers. Het platform voor softwareontwikkelaars zegt dat de aanpassing nodig is door ontwikkelingen in de industrie, vermoedelijk mede door het toenemende gebruik van AI bij het vinden van kwetsbaarheden.

Tot nu toe werkte GitHub met bandbreedtes en kon een melding van een kwetsbaarheid afhankelijk van de ernst tussen 617 dollar en 100.000 dollar opleveren. Voortaan worden vaste bedragen gehanteerd: 250 dollar voor low, 2.000 dollar voor medium, 5.000 dollar voor high en 10.000 dollar voor critical kwetsbaarheden. Daarmee gaan de beloningen in alle categorieën omlaag ten opzichte van de oude maxima.

Tegelijk introduceert GitHub een apart VIP-programma voor onderzoekers met een bewezen staat van dienst. Wie eerder succesvol zwakke plekken op het platform heeft gemeld, kan daarin hogere beloningen krijgen: 1.000 dollar voor low, 7.500 dollar voor medium, 20.000 dollar voor high en 30.000 dollar of meer voor critical issues. Meldingen die vóór 27 juli binnenkomen, vallen nog onder de oude regels via HackerOne, dat de afhandeling van het bugbountyprogramma verzorgt.