في خطوة تعكس التحديات المتزايدة في عالم الأمن السيبراني، أعلن GitHub عن إعادة هيكلة جذرية لبرنامج مكافآت الأخطاء (Bug Bounty) الخاص به. يأتي هذا التغيير استجابةً لتدفق غير مسبوق لتقارير الأخطاء منخفضة الجودة، والتي يُعزى جزء كبير منها إلى المحتوى المُنشأ بواسطة الذكاء الاصطناعي.
يهدف GitHub من خلال هذا التعديل إلى استعادة جودة التقارير وكفاءة البرنامج، والذي سيدخل حيز التنفيذ لجميع التقارير المقدمة اعتبارًا من 27 يوليو 2026 فصاعدًا. وتشمل أبرز التغييرات ما يلي:
- إطلاق مخططات مكافآت الأخطاء ثنائية المستوى: برنامج عام مفتوح وبرنامج خاص مخصص للمدعوين.
- تعديل مبالغ المكافآت: لتتناسب مع المستويات الجديدة، مع تقليل المدفوعات للبرنامج العام.
- معايير جديدة للباحثين: إعادة تقييم معايير الباحثين، مع التركيز على الخبرة والسجل الحافل.
تحديات تقارير الأخطاء المولدة بالذكاء الاصطناعي: لماذا التغيير؟
أوضح مهندس أمن المنتجات كاثرين كاسيل أن الدافع الرئيسي وراء هذا التغيير هو التراكم المتزايد للتقارير التي تتطلب جهدًا قليلًا وتفتقر إلى الجودة، والتي تُنشأ غالبًا بمساعدة أدوات الذكاء الاصطناعي. لقد أثر هذا التدفق على قدرة GitHub على معالجة التقارير القيمة بفعالية، مما استدعى تدخلًا هيكليًا لضمان استمرار فعالية البرنامج.
هيكل جديد للمكافآت: المستويات والمدفوعات
بموجب المخطط الجديد، سيعمل برنامج مكافآت الأخطاء في GitHub بنظام مستويين. سيُتاح البرنامج العام لمجتمع الباحثين الأوسع، ولكنه سيشهد تغييرات في هيكل المدفوعات.
بدلاً من النطاقات السابقة، سيقدم GitHub دفعات ثابتة لكل مستوى خطورة، تتراوح بين 250 دولارًا للثغرات منخفضة الخطورة، و2000 دولار للمتوسطة، و5000 دولار للعالية، و10000 دولار للحرجة. هذا التغيير يهدف إلى توضيح المكافآت المتوقعة للباحثين ويقلل من الغموض في تحديد قيمة التقرير.
تجدر الإشارة إلى أن هذه المدفوعات أقل بكثير مقارنة بالنطاقات السابقة، التي كانت تتراوح من 500 إلى 1000 دولار للمنخفضة، و2000 إلى 5000 دولار للمتوسطة، و5000 إلى 20000 دولار للعالية، و10000 إلى 30000 دولار للحرجة.
بالنسبة للباحثين المهمين المدعوين ضمن برنامج الدعوة فقط (Invite-Only)، من المتوقع أن يحصلوا على مكافآت تزيد بنحو 3-4 أضعاف عن تلك المتاحة في البرنامج العام، وذلك اعتمادًا على خطورة الثغرة المكتشفة.
معايير جديدة للباحثين الجدد
لمواجهة تحدي التقارير منخفضة الجودة، أضاف GitHub أيضًا متطلبات جديدة لإشارة HackerOne للباحثين الجدد. سيُمنح الباحثون أربع فرص لإثبات سجلهم الحافل في تقديم تقارير عالية الجودة، وهي خطوة تهدف إلى تصفية التقارير العشوائية أو تلك التي تُنشأ بشكل آلي.
تلخص كاثرين كاسيل الهدف من هذه التغييرات بقولها: نهدف إلى بناء برنامج يجذب الأبحاث التي نقدرها، ويخلق تجربة تعكس مدى جديتنا في هذا العمل، ويحافظ على الثقة التي يوليها الباحثون لنا في كل مرة يقدمون فيها تقريرًا. تعكس هذه الخطوة التزام GitHub بضمان أمان منصتها مع الحفاظ على مجتمع قوي لمكافآت الأخطاء، مما يضمن أن المكافآت تذهب إلى الباحثين الذين يقدمون القيمة الحقيقية.