AI 低品質回報推高分流成本，GitHub 漏洞懸賞今日改採公開與邀請雙軌制

GitHub 的新版漏洞懸賞制度自 2026 年 7 月 27 日提交的報告起生效，核心改動是把單一公開計畫拆成公開與永久 VIP 兩條路徑。官方表示待處理佇列持續增加，尤其需要降低低投入及 AI 生成報告造成的雜訊，讓安全團隊把時間集中在可重現且具實際影響的漏洞。

公開計畫改用固定獎金：低、中、高、嚴重等級分別為 250、2,000、5,000 與 10,000 美元。它同時加入 HackerOne signal 門檻；尚未達門檻的研究者最多有四次初始提交機會建立紀錄。VIP 計畫則採邀請制，對應獎金為 1,000、7,500、20,000 與至少 30,000 美元，並承諾更快回應及與 GitHub 安全工程團隊更直接的合作。進入資格可由一項嚴重、兩項高風險、四項中風險或七項低風險有效發現取得。

這不是模型、掃描器或 API 的更新，卻是 AI 輔助漏洞研究進入生產流程後的重要技術訊號：生成式工具降低了產生看似完整報告的成本，但沒有同步降低驗證 exploitability、建立最小重現案例與界定攻擊影響的成本。當提交端可以大量自動化、分流端仍需要人工解析 HTTP 軌跡、權限邊界及受影響資產時，懸賞平台會形成不對稱的資源消耗。

使用代理進行安全測試的團隊因此不應把模型輸出直接送入披露管道。較可靠的管線應要求可重播請求、明確的前置權限、受影響版本、實際安全邊界及人工確認，並對重複或純理論結果去重。需要觀察的是 signal 規則能否真正改善分流時間，以及較低公開獎金和有限試投次數是否會讓缺乏既有聲譽、但持有有效發現的新研究者退出；GitHub 尚未公布 AI 報告占比、誤報率或佇列規模。