Github überarbeitet sein Bug-Bounty-Programm nach mehr als zehn Jahren. Wie der Entwicklerdienst in einem Blogbeitrag schreibt, soll künftig weniger die Menge der Berichte zählen, sondern stärker deren Qualität. Hintergrund ist laut Mitteilung die wachsende Zahl an Einsendungen, darunter Meldungen mit wenig Substanz und KI-generierte Berichte.
Am meisten profitieren sollen erfahrene Sicherheitsforscher. Für sie führt das Unternehmen ein dauerhaftes VIP-Programm ein. Wer wiederholt relevante Schwachstellen meldet, erhält höhere Prämien, schnellere Antworten und einen direkteren Austausch mit dem Sicherheitsteam. Die Qualifikation ist etwa mit einem kritischen Fund, zwei hohen, vier mittleren oder sieben niedrigen Funden möglich. Für niedrige Schwachstellen zahlt
Github im VIP-Programm 1000 US-Dollar, für mittlere 7500 US-Dollar und für hohe 20'000 US-Dollar. Kritische Lücken bringen mindestens 30'000 US-Dollar.
Im öffentlichen Teil des Programms ersetzt Github die bisherigen Prämienbereiche durch feste Beträge. Je nach Schweregrad zahlt der Entwicklerdienst künftig 250, 2000, 5000 oder 10'000 US-Dollar. Die neue Struktur gilt für Meldungen ab dem 27. Juli 2026, frühere Einsendungen werden weiter nach dem bisherigen Modell bewertet.
(dow)
