GitHub 最近宣布大幅調整其漏洞賞金計畫（Bug Bounty Program）的獎勵結構。對於從事資安研究或剛接觸漏洞回報的工程師來說，這次變動不僅僅是錢的問題，它背後反映了 AI 時代下，漏洞挖掘與審核流程的根本性轉移。
漏洞賞金制度的變革
從 2026 年 7 月 27 日起，GitHub 將對公開回報的漏洞大幅調降獎金，且將獎金由原先的區間制改為固定金額。以最嚴重的 Critical 等級為例，獎金從原先的 2 萬至 3 萬美元以上，直接降至固定的 1 萬美元。其他等級如 High、Medium 和 Low 也同樣面臨約 50% 到 60% 的降幅。
與此同時，GitHub 建立了僅限邀請制的 VIP 階層。進入這個私密計畫的研究員將獲得更高的獎勵，Critical 等級的獎金將維持在 3 萬美元以上。要進入 VIP 階層，研究員必須達到特定的回報門檻，例如提交至少 1 個 Critical 或 2 個 High 等級的有效漏洞。
為什麼 GitHub 要這麼做？
對於 Junior 工程師來說，可能會覺得這是在砍福利，但從維運角度看，這是為了對抗 AI 產生的噪音（Noise）。
隨著 LLM（大型語言模型）的普及，許多人開始利用 AI 自動掃描程式碼並提交回報。雖然 AI 能提高發現潛在問題的效率，但也帶來了大量低品質、重複或根本無法觸發的錯誤回報。這導致 GitHub 的安全團隊在 Triage（漏洞分級與初步審核）階段耗費大量人力，卻發現大部分回報都是無效的垃圾資訊。
GitHub 的邏輯很明確：提交數量不再等於價值，提交的品質才決定報酬。透過降低公開獎金並提高 VIP 門檻，GitHub 試圖篩選出真正具有深厚技術能力、能提供高價值分析的研究員，而非依賴 AI 工具大量投遞的快餐式研究者。
AI 對漏洞挖掘的實務影響
這次調整與 Google 最近推出的 Gemini 3.5 Flash Cyber 模型在時間點上高度重合。這類專為資安微調的模型，能快速地在程式碼中尋找、驗證並甚至自動生成修補程式（Patch）。
這對資安實務產生了兩個關鍵影響：
第一，發現漏洞的成本降低。AI 可以快速掃描數萬行程式碼，找出可能的弱點。這意味著單純的漏洞發現（Discovery）已經不再稀缺。
第二，內部防禦能力提升。企業內部的安全團隊現在可以利用 AI Agent 在每次 Commit（提交程式碼）時就進行自動化掃描與驗證，在外部研究員發現之前就將漏洞修復。
在這種背景下，單純回報一個 AI 也能發現的漏洞，其商業價值大幅下降。
真正具有價值的資安能力是什麼？
如果 AI 能幫我們找 Bug，那人類工程師的價值在哪裡？從 GitHub 的新政策可以看出，市場對資安研究的定義正在轉移。
目前 AI 仍然難以處理以下複雜任務： 跨信任邊界的漏洞鏈結（Chaining）：將多個看似無害的小漏洞組合起來，達成一個高影響力的攻擊路徑。 業務邏輯錯誤（Business Logic Failures）：理解產品設計意圖，找出邏輯上的漏洞，而非語法上的錯誤。 證明實際影響（Material Impact）：提供高品質的 PoC（Proof of Concept，概念驗證），證明該漏洞在真實生產環境中確實能造成損害。
這就是為什麼 GitHub 現在要求回報必須附帶可運行的 PoC 並證明實際影響力。
總結與反思
GitHub 的這次調整標誌著漏洞賞金進入了高品質導向的時代。對於新進的研究員來說，進入門檻變高了，因為在 HackerOne 等平台上的試錯空間被壓縮。
但對於追求技術成長的工程師而言，這是一個信號：不要依賴工具產出的候選結果，而應專注於深入理解系統架構、研究複雜的攻擊路徑，以及如何將理論漏洞轉化為實際的影響力證明。在 AI 時代，能發現 Bug 是基本功，能證明 Bug 如何摧毀系統才是核心競爭力。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。