GitHub、公開バグ報奨金を大幅減額—AIレポート氾濫でセキュリティチームが埋もれる

GitHubは、2026年7月27日から公開バグ報奨金プログラムを大幅に改革すると発表した。AI生成レポートの氾濫に対応するため、公開プログラムの報奨金を引き下げる一方、招待制のVIPプログラムを新設し、実績のある研究者に高額報奨金を提供する。さらに、新規研究者には提出数の上限を設け、低品質なレポートを削減する。

公開プログラムでは、低重要度の脆弱性に対する報奨金が従来の500～1000ドルから250ドルに、中程度は最大5000ドルから2000ドルに、高重要度は最大2万ドルから5000ドルに、クリティカルは最大3万ドルから1万ドルに減額される。一方、VIPプログラムでは、低重要度で1000ドル、中程度で7500ドル、高重要度で2万ドル、クリティカルで最低3万ドルが支払われる。VIPプログラムへの参加は招待制で、GitHubは実績のある研究者に対してのみ招待状を送る。参加資格には、1件のクリティカル脆弱性の受理または7件の低重要度脆弱性の受理などが含まれる。さらに、GitHubはHackerOneの「シグナル要件」を採用し、新規研究者が正当な発見を報告するまで提出数を制限する。新規研究者には最大4回の機会が与えられ、既に提出されたレポートは旧基準で評価される。

GitHubのプロダクトセキュリティエンジニア、Cathering Cassell氏は「これらの変更は、ノイズを減らしてシグナルに集中し、真剣な研究者にとってやりがいのあるプログラムを構築することにあります」と述べている。GitHubは今年初めにも報告品質の要件を厳格化しており、AIによる大量提出がセキュリティ向上につながらないという判断を示している。また、プルリクエストに対する「キルスイッチ」機能も検討中で、AIによるゴミコードを防ぐ狙いがある。この一連の動きは、AI時代におけるセキュリティ研究の在り方を問い直すものとして注目される。業界からは、新規参入者への障壁が高まるという懸念がある一方、経験豊富な研究者からは歓迎の声も上がっている。