GitHubがバグ報奨金プログラムを再編、低品質な報告やAI生成の報告を抑えるため招待制のVIPプログラムを恒久化
GitHubは2026年7月22日、脆弱(ぜいじゃく)性の発見者に報奨金を支払う「GitHub Bug Bounty Program」を再編すると発表しました。低品質な報告やAI生成の報告が増えたことを受け、報告の質を重視する仕組みに再編します。
Next chapter: Restructuring GitHub's bug bounty program - The GitHub Blog
バグ報奨金プログラムは外部のセキュリティ研究者に問題を探してもらい、有効な報告へ報奨金を支払う仕組みです。GitHubでは10年以上にわたり、世界各地の研究者から寄せられた情報をサービスの安全性向上に役立ててきました。
一方で、GitHubのセキュリティチームが確認しなければならない報告は増え続けています。低品質な報告やAI生成の報告が大量に届くと、本当に重大な脆弱性を示す報告が処理待ちの列に埋もれかねません。GitHubは以前から受け入れ体制を調整していましたが、報告数ではなく報告の質を重視する仕組みへ改める必要があると判断したとのこと。
対策として恒久化されるのが、招待制の「VIPプログラム」です。質の高い報告を継続して参加条件を満たした研究者には、通常より高い報奨金や迅速な回答、GitHubのセキュリティ担当者と連携しやすい環境が提供されます。VIPプログラム参加者に対しては脆弱性の重大度に応じて以下の報奨金が支払われます。
重大度 報奨金 低 $1,000(約16万円) 中 $7,500(約120万円) 高 $20,000(約330万円) 重大 $30,000+(約490万円以上)
VIPプログラムへの参加資格は、重大レベルの脆弱性を1件、高レベルを2件、中レベルを4件、低レベルを7件のいずれかを達成することで得らるとのこと。詳しい条件はHackerOneのGitHub公開ページで案内される予定です。
一般向けプログラムも継続しますが、報奨金は脆弱性の重要度に応じた固定額へ変更されます。金額を明確にすることで研究者が報酬を予測しやすくなり、GitHub側の査定作業も減らせるというわけです。
重大度 報奨金 低 $250(約4万円) 中 $2,000(約33万円) 高 $5,000(約82万円) 重大 $10,000(約160万円)
さらに、過去365日間の報告実績を基に提出数を制限するHackerOneの「Signal Requirements」も導入されます。基準を満たさない研究者も最大4件まで報告を提出できるため、新規参加者を一律に排除する仕組みではありません。
新制度は2026年7月27日以降に提出される報告に適用されます。GitHubは報告数の多さではなく調査の質を重視し、重要な脆弱性を発見した研究者へ適切に報いるプログラムを目指すと述べています。
