在 GitHub 上靠挖漏洞赚钱，以后没那么容易了。
随着 AI 工具让发现软件漏洞和编写补丁变得前所未有的简单，GitHub 的漏洞赏金计划面临着巨大的压力。虽然像 Linux 内核这样的项目因此获得了更多公众输入，但 GitHub 发现自己被大量低质量、甚至由 AI 自动生成的报告淹没了。
为了维持计划的可持续性，GitHub 宣布了一项重大调整：设立一个永久性的、仅限邀请的 VIP 计划，并大幅收紧公共提交的门槛。
VIP 俱乐部：高门槛，高回报
未来的高额赏金，只留给经过验证的顶尖高手。
要进入 VIP 计划，你需要先证明自己的实力：发现 1 个严重级别、2 个高级别、4 个中等级别或 7 个低级别漏洞。一旦入选，你将获得更高的报酬、更快的响应速度，以及与安全工程团队更紧密的合作关系。
VIP 成员的价码相当诱人：
- 低危：1,000 美元
- 中危：7,500 美元
- 高危：20,000 美元
- 严重：30,000 美元以上
相比之下，非 VIP 研究人员的报酬则大幅缩水：低危仅 250 美元，高危 5,000 美元，严重也只有 10,000 美元。对于试图以此为主要收入来源的研究人员来说，进入 VIP 圈子几乎成了必经之路。
给 AI 和“刷单者”设限
除了分级，GitHub 还在公共计划上实施了 HackerOne 信号要求。
简单来说，新手在建立信誉期间，只有 四次 初始提交机会。GitHub 认为，这对于真正有实力的新人来说已经足够展示技能，但对于试图用 AI 批量生成垃圾报告的人来说，这是一个致命的限制。
这一举措旨在减少噪音，确保安全团队能将精力集中在真正有价值的威胁上。GitHub 表示，他们希望保持对社区的开放，但必须建立一个基线来保证计划的可行性。
最后的机会
如果你手头还有未提交的漏洞，动作要快。
在这些变更之前提交的报告，仍将按照旧的、更宽松的赏金结构兑现。但这个窗口期将在 2026 年 7 月 26 日 关闭。
总的来说，GitHub 的这一转变反映了 AI 时代安全研究的常态：发现漏洞变得更容易，但验证和修复的价值变得更稀缺。平台不再为“数量”买单，而是只为真正的“质量”和“影响力”付费。
对于白帽黑客而言，这或许是一次洗牌：靠脚本和 AI 混日子的时代结束了，深耕技术、挖掘核心漏洞的高手将迎来更好的回报。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
