AI zepsuła program nagród GitHuba. Koniec z wysokimi nagrodami

Era "łatwych" pieniędzy za znalezienie błędów w oprogramowaniu właśnie dobiega końca. GitHub ogłosił jedną z największych zmian w historii swojego programu bug bounty, radykalnie obniżając nagrody dostępne dla większości uczestników. Firma tłumaczy decyzję lawiną zgłoszeń tworzonych przy pomocy sztucznej inteligencji, które coraz częściej trafiają do zespołów bezpieczeństwa.

Nowe zasady zaczną obowiązywać 27 lipca i całkowicie zmienią sposób funkcjonowania programu. Publiczne zgłoszenia będą wyceniane znacznie niżej niż dotychczas, natomiast najwyższe nagrody otrzyma wyłącznie wąska grupa zaproszonych specjalistów z udokumentowanymi sukcesami.

GitHub zmienia zasady dla łowców podatności

Program bug bounty od lat był jednym z najważniejszych sposobów wyszukiwania luk bezpieczeństwa. Niezależni badacze analizowali kod i infrastrukturę firmy, a za znalezienie podatności otrzymywali wynagrodzenie. Im poważniejszy problem udało się wykryć, tym wyższa była nagroda.

GitHub uznał jednak, że obecny model przestał się sprawdzać. W ostatnich miesiącach liczba zgłoszeń gwałtownie wzrosła, lecz znaczna część raportów nie przedstawiała realnej wartości dla zespołów bezpieczeństwa. Według firmy ogromny wpływ na tę sytuację miało upowszechnienie narzędzi opartych na sztucznej inteligencji.

Coraz więcej osób wykorzystuje chatboty AI do generowania raportów o potencjalnych podatnościach, licząc na szybkie wynagrodzenie. Efektem stał się ogrom dokumentów wymagających analizy, mimo że wiele z nich nie opisuje rzeczywistych zagrożeń.

Publiczne nagrody spadają nawet kilkukrotnie

Najbardziej odczują to uczestnicy otwartego programu. GitHub zdecydował się znacząco obniżyć maksymalne wypłaty niemal we wszystkich kategoriach.

Nagrody za mniej istotne błędy zostały zmniejszone o połowę. Jeszcze większe cięcia objęły podatności średniego i wysokiego ryzyka. W przypadku najpoważniejszych luk maksymalna wypłata spada z 30 tys. do 10 tys. dolarów. To jedna z największych redukcji stawek w historii programu prowadzonego przez platformę należącą do Microsoftu.

Powstaje zamknięty program dla najlepszych specjalistów

Jednocześnie GitHub uruchamia nowy program VIP, do którego nie będzie można zgłosić się samodzielnie. Zaproszenia otrzymają wyłącznie badacze posiadający udokumentowaną historię wartościowych odkryć. To właśnie oni będą mogli liczyć na najwyższe wynagrodzenia. W zamkniętym programie nagrody pozostają bardzo atrakcyjne. Krytyczne podatności nadal będą wyceniane na co najmniej 30 tys. dolarów, a za błędy wysokiego ryzyka przewidziano nawet 20 tys. dolarów.

Firma zamierza wybierać uczestników na podstawie wcześniejszych zgłoszeń oraz jakości dotychczasowej współpracy.

„Te zmiany dotyczą dwóch rzeczy: redukcji szumu informacyjnego, abyśmy mogli skupić się na sygnale, oraz stworzenia programu, w którym udział poważnych badaczy będzie satysfakcjonujący” - powiedział Cathering Cassell, inżynier ds. bezpieczeństwa produktów w GitHub.

Początkujący badacze dostaną nowe ograniczenia

Zmiany nie kończą się na wysokości nagród. GitHub wprowadza również ograniczenia dotyczące liczby raportów przesyłanych przez nowych uczestników programu.

Osoby rozpoczynające swoją przygodę z bug bounty będą mogły wysłać tylko ograniczoną liczbę zgłoszeń, zanim zbudują historię wiarygodnych odkryć. Dopiero po udowodnieniu swoich umiejętności otrzymają możliwość przesyłania większej liczby raportów.

Według GitHuba takie rozwiązanie pozwoli odciążyć specjalistów analizujących zgłoszenia i skróci czas potrzebny na ocenę najbardziej wartościowych podatności.

AI zasypuje zespoły bezpieczeństwa

Przedstawiciele GitHuba nie ukrywają, że decyzja jest bezpośrednią odpowiedzią na eksplozję popularności narzędzi AI.

Jeszcze kilka lat temu znalezienie podatności wymagało dużego doświadczenia oraz wielu godzin ręcznej analizy. Dziś część użytkowników wykorzystuje modele językowe do automatycznego wyszukiwania potencjalnych problemów oraz przygotowywania raportów.

Nie oznacza to, że sztuczna inteligencja znajduje wyłącznie błędne informacje. Problem polega na ogromnej liczbie zgłoszeń wymagających weryfikacji. Nawet jeśli większość z nich okazuje się nieprzydatna, każdy raport musi zostać przeanalizowany przez ekspertów.

GitHub twierdzi, że obecny model zaczął generować więcej pracy niż realnych korzyści dla bezpieczeństwa platformy.

To kolejny etap zmian

Firma już wcześniej zaostrzyła wymagania dotyczące jakości przesyłanych raportów. Badacze zostali ostrzeżeni, że zgłoszenia przygotowane wyłącznie przy pomocy sztucznej inteligencji i pozbawione własnej analizy mogą zostać odrzucone.

Najnowsza reforma idzie o krok dalej. Zamiast wynagradzać dużą liczbę zgłoszeń, GitHub chce skoncentrować budżet na specjalistach regularnie odnajdujących rzeczywiste podatności.

Decyzja GitHuba może okazać się początkiem większych zmian w świecie programów bug bounty. Coraz więcej firm mierzy się z podobnym problemem – gwałtownym wzrostem liczby raportów generowanych przy wsparciu AI.