GitHub、バグ報奨金を刷新しVIP枠新設

GitHubは2026年7月22日、脆弱性を報告した研究者に報奨金を支払うバグバウンティ制度を刷新すると発表しました。招待制のVIP枠を常設して高品質な研究者に高額報酬を用意する一方、公開制度の報奨金は固定額に減額します。低品質やAI生成の報告が急増して審査待ちが膨らむなか、報告の量より質を重視する狙いで、新体系は7月27日以降の報告に適用されます。

目玉は、常設化する招待制のVIPプログラムです。継続して高品質かつ影響度の大きい成果を出す研究者を対象に、より高額な報酬、速い応答、セキュリティ技術陣との緊密な連携を提供します。報酬はCriticalが3万ドル以上、Highが2万ドル、Mediumが7,500ドル、Lowが1,000ドルで、参加にはCritical1件やHigh2件などの実績が求められます。

一方で公開制度の報奨金は引き下げられます。従来の幅を持たせた金額をやめて固定額とし、Criticalは1万ドル、Highは5,000ドル、Mediumは2,000ドル、Lowは250ドルになります。GitHubは、幅のある提示が研究者の不確実性と運営側の負担を生むと説明し、公開制度をVIPへの登竜門と位置づけます。

背景には、低労力の報告やAIが生成した報告の増加があります。GitHubはHackerOneのシグナル要件を公開制度に導入し、基準を満たさない研究者の提出数を制限しますが、新規参加者には最大4件の初回提出枠を残します。既存の未処理分は従来の体系で扱い、量ではなく質で報われる制度への転換を進めます。