يسلط فريق GitHub Bug Bounty الضوء على باحث أمني متميز، @vaib25vicky، في إطار شهر التوعية بالأمن السيبراني. ويأتي هذا التكريم بالتزامن مع إعلان GitHub عن إعادة هيكلة برنامج مكافآت الأخطاء الخاص بها، بهدف مكافأة الجودة العالية في تقارير الثغرات الأمنية بشكل أكبر من التركيز على الكمية.
برنامج مكافآت الأخطاء الجديد من GitHub
برأينا، تُعد هذه الخطوة إشارة واضحة من GitHub نحو تقدير العمل الأمني العميق والمؤثر. البرنامج الجديد يركز على الجودة، حيث لا يكسب الباحثون المزيد من خلال تقديم المزيد، بل من خلال تقديم تقارير أفضل.
- مكافآت أعلى بكثير، تصل إلى 30,000 دولار أمريكي أو أكثر للثغرات الحرجة، أي ما يعادل حوالي 112,500 ريال سعودي أو 110,100 درهم إماراتي.
- أوقات استجابة أسرع لتقاريرهم.
- معاينات مبكرة للمنتجات والميزات التجريبية قبل إطلاقها للجمهور.
وقد قدم GitHub برنامج VIP حصرياً بالدعوات للباحثين الذين يقدمون باستمرار عملاً عالي الجودة وذا تأثير كبير. يستند الانضمام إلى هذا البرنامج على إظهار جودة متسقة، ويمكن للباحثين الذين يمتلكون ثغرة حرجة واحدة أو اثنتين ذات خطورة عالية أو أربع متوسطة أو سبع منخفضة تم حلها، الحصول على دعوة.
منهجية باحث أمني ناجح
يُعرف الباحث @vaib25vicky بتخصصه في أبحاث التحكم في الصلاحيات والوصول (Authorization and Access Control)، وقد كشف عن بعض أكثر المشكلات دقة وتأثيراً في منظومة GitHub. يرى هذا الباحث أن تركيزه العميق والمستمر على هذه المساحة المعقدة يمثل بالضبط نوع البحث المتعمق الذي صمم البرنامج الجديد لمكافأته.
عند اختيار هدف، يبحث @vaib25vicky عن الميزات المعقدة والصعبة الفهم، ويقضي بعض الوقت في استكشافها. وفيما يخص استخدام الذكاء الاصطناعي، يذكر الباحث أنه يستخدمه لتوفير الوقت وزيادة الإنتاجية، معتبراً إياه «مساعداً رائعاً». ومع ذلك، يؤكد على ضرورة توجيه الذكاء الاصطناعي والتحقق دائماً مما يقدمه، قائلاً: «الذكاء الاصطناعي مثل سيارة سريعة جداً، لكنها لا تزال بحاجة إلى سائق جيد».
بالنسبة لاختبار الميزات المدعومة بالذكاء الاصطناعي، يرى @vaib25vicky أن الأمر يتطلب تفكيراً مختلفاً قليلاً، لكن معظم الأخطاء، بما في ذلك الأخطاء عالية التأثير، لا تزال تتعلق بقضايا الصلاحيات، أو الحواجز الواهية، أو القدرات التي تم التغاضي عنها. ويعتقد أنه يمكن العثور على هذه المشكلات بنفس عقلية البحث عن الأخطاء التقليدية في الويب.
ما يعنيه هذا للمطورين والباحثين
بالنسبة للمطورين والباحثين في الأمن السيبراني، يشير هذا التوجه من GitHub إلى أن التركيز على عمق البحث وجودة التقرير أهم من الكمية. إن فهم آليات التحكم في الصلاحيات والوصول يظل مهارة حاسمة، حتى مع تزايد دمج الذكاء الاصطناعي في المنتجات.
نرى أن نصيحة @vaib25vicky بالصبر وأن التقدم يستغرق وقتاً هي نصيحة ذهبية لأي شخص يدخل مجال مكافآت الأخطاء. كما أن استخدام الذكاء الاصطناعي كأداة مساعدة مع التحقق البشري يمثل نهجاً مسؤولاً وفعالاً في البحث عن الثغرات الأمنية في عصر يتزايد فيه الاعتماد على AI.
المصدر: github.blog