GitHub 的漏洞赏金计划正在演进，以优先支持高质量、高影响力的研究。

了解我们的新篇章：全新的 VIP 计划、重构的公开赏金计划，以及更新的信号要求——所有设计都是为了建立更紧密的研究合作关系。 https://t.co/loN9skWtHB

下一章：重构 GitHub 的漏洞赏金计划

来源：https://github.blog/security/next-chapter-restructuring-githubs-bug-bounty-program/

安全研究社区让 GitHub 对每个人都更安全。这就是我们漏洞赏金计划背后的简单理念。

十多年来，来自世界各地的研究人员帮助我们发现并修复漏洞，避免它们被利用，我们也一直努力打造一个值得他们投入的计划。

今天，我们宣布计划运行方式的几项重要变更。这些决定源于数月来对计划的反思、对行业动态的分析，以及对研究人员体验的考量。

变更内容及原因

该计划正面临日益增长的队列压力。为了适应新研究人员的涌入以及长期合作研究人员投入力度的加大，我们已经做出了一些调整。我们在最近的一篇博文（https://github.blog/security/raising-the-bar-quality-shared-responsibility-and-the-future-of-githubs-bug-bounty-program/）中分享了这些变更。

这些变更围绕两点：减少噪声以便聚焦信号，同时打造一个让严肃研究人员感到有价值的计划。

推出永久性 VIP 计划

我们正式将面向合格研究人员的永久性私密/仅限邀请的 VIP 计划制度化，这些研究人员持续提交高质量、高影响力的成果。VIP 研究人员将获得更高的奖励、更快的响应速度，以及与我们的安全工程团队更紧密的合作关系。目标是创建一个空间，让那些深入了解 GitHub 的研究人员可以直接与我们合作，并获得与他们付出相匹配的体验。

VIP 计划赏金表：

如何获得资格*:*我们将通过公开的 HackerOne 页面（https://hackerone.com/github?type=team）发布明确的标准。准入路径以持续展现的稳定质量为基础。要获得资格，你必须至少完成以下之一：

• 一个严重级发现
• 两个高危级发现
• 四个中等级发现
• 七个低等级发现

这里核心的转变在于我们所要激励的方向：提交更多不会让你获得更多奖励。提交更好才会。

重构的公开赏金表

为了贯彻我们在上述优先级上的转变，我们还必须做出能够支撑这一转变的调整。我们将调整公开计划的赏金标准，以适应从“报告数量”向“合作关系质量与发现质量”的重心转移。我们还将改用固定赏金——每个严重级别对应一个单一、明确的数字，而不是一个宽泛的范围。范围听起来灵活，但实际上会给研究人员带来不确定性，并增加我们团队的额外工作。固定赏金能为双方设定明确的期望，同时我们保留对超出预期的优秀成果给予自主裁量奖金的权利。

我们的新公开赏金表：

这一调整将使我们能够为 VIP 计划提供更有针对性的关注和更高的奖励，同时保持公开计划作为一个探索入口和 VIP 计划的人才输送渠道。

提高信号要求

为了减少低质量和 AI 生成的报告数量，我们将在公开计划中实施 HackerOne 的信号要求。尚未达到信号阈值的研究人员在建立业绩记录期间，将只能提交有限数量的报告。

这并非针对新研究人员设置障碍。HackerOne 平台允许未达到阈值的研究人员最多提交四份初始报告，这为拥有真实发现的新手提供了足够的展示能力的机会。我们希望继续向整个安全研究社区保持开放，只是需要一个基线，让计划对所有人都能顺畅运行。

保持不变的内容

我们对奖励真实安全研究的承诺不会改变。我们将继续快速支付、清晰沟通，并像对待合作伙伴一样对待研究人员。

在这些变更生效前提交的报告将继续按照原有赏金结构处理。我们将对积压报告进行“祖父条款”保护，只有自 2026 年 7 月 27 日当天及之后提交的报告才会使用新结构进行评估。

展望未来

这只是我们正在进行更广泛演进的一部分。在赏金结构重组和 VIP 计划的同时，我们正在投资更快的响应时间、更清晰的严重性判定依据以及更多的社区参与。良好的合作关系建立在比赏金表更多的基础之上。您可以在 DEFCON 等会议上直接与我们交流，我们也会通过持续的主动沟通让您听到我们的声音。我们期待在安全会议上加入研究社区，建立合作关系，并继续探索如何让我们的漏洞赏金计划能够奖励我们所最珍视的那种深入、富有洞察力的研究。

安全研究社区是 GitHub 最大的资产之一。这些变更旨在向他们致敬。我们希望打造一个能够吸引我们所重视的研究、创造一个能体现我们对这项工作严肃态度的体验，并维护研究人员每次提交报告时对我们的信任。

我们江湖见，快乐挖洞！

作者

Catherine Cassell 产品安全工程师

相关文章

GitHub 如何为每个仓库赋予持久的所有者（https://github.blog/security/application-security/how-github-gave-every-repository-a-durable-owner/）

GitHub 曾有超过 14,000 个仓库。其中不到一半有明确的所有者。以下是我们在 45 天内为每个活跃仓库赋予已验证所有者、归档其余仓库，并将所有权作为后续一切工作的基础的过程。

更多来自 GitHub 的内容

Docs

文档

掌握 GitHub 所需的一切，尽在此处。

前往文档（https://docs.github.com/）

GitHub

GitHub

在 GitHub 上构建未来——这里是任何人都能构建任何东西的地方。

开始构建（https://github.com/）

客户案例

客户案例

了解使用 GitHub 构建产品的公司和工程团队。

了解更多（https://github.com/customer-stories）

GitHub Universe 2026

GitHub Universe 2026

2026 年 10 月 28–29 日，在旧金山或线上加入我们，参加 GitHub Universe——我们的旗舰开发者活动，汇聚人员、智能体与世界代码。

立即注册（https://githubuniverse.com/?utm_source=Blog&utm_medium=GitHub&utm_campaign=module_uni_26）