GitHub ปรับโครงสร้างโปรแกรม bug bounty แบ่งสองระดับ เพื่อต่อสู้กกับรายงาน AI คุณภาพต่ำ

GitHub ประกาศเปลี่ยนรูปแบบโปรแกรม bug bounty ให้เป็นระบบสองชั้น เริ่มบังคับใช้ตั้งแต่ 27 กรกฎาคม 2569 เพื่อตอบสนองต่อการเพิ่มจำนวนรายงานที่สร้างโดย AI ซึ่งส่วนใหญ่มีคุณภาพต่ำ การปรับโครงสร้างนี้คาดว่าจะทำให้ค่าตอบแทนของนักวิจัยระดับ VIP เพิ่มขึ้นประมาณ 3‑4 เท่า และช่วยกำหนดรางวัลสำหรับแต่ละระดับความรุนแรงอย่างชัดเจน

Overview

GitHub ซึ่งเป็นแพลตฟอร์มการเขียนโค้ดที่ดำเนินการโดย Microsoft ได้วางแผนพัฒนาโปรแกรม bug bounty ให้แบ่งออกเป็นสองส่วน ส่วนแรกคือ public program ที่เปิดให้กับนักวิจัยทั่วไป และอีกส่วนคือ private invitation‑only program สำหรับผู้เชี่ยวชาญระดับ VIP การเปลี่ยนแปลงนี้จะเริ่มบังคับใช้กับรายงานที่ส่งเข้ามาตั้งแต่วันที่ 27 กรกฎาคม 2569 เป็นต้นไป

ตามที่ Product Security Engineer Catherine Cassell อธิบาย การจัดตั้งระบบสองชั้นเป็นการตอบสนองต่อ “backlog” ของรายงานที่มีคุณภาพต่ำและถูกสร้างโดย AI ซึ่งทำให้ทีมรักษาความปลอดภัยของ GitHub ต้องใช้เวลามากขึ้นในการคัดกรองและประเมินผล รายงานเหล่านี้มักไม่มีข้อมูลเชิงลึกหรือขั้นตอนการทำซ้ำที่เพียงพอ ทำให้ค่าตอบแทนที่จ่ายไปไม่สอดคล้องกับความพยายามของนักวิจัยจริง

การเปลี่ยนแปลงนี้ยังมีส่วนช่วยให้ GitHub สามารถมุ่งเน้นการดึงดูด “research ที่เราค่ำค่า” โดยการกำหนดเกณฑ์และรางวัลที่ชัดเจน ซึ่งสอดคล้องกับแนวโน้มของอุตสาหกรรมที่ต้องจัดการกับการใช้ AI ในกระบวนการทดสอบความปลอดภัย

Reason for Change

ในช่วงหลายเดือนที่ผ่านมา GitHub รายงานว่ามีจำนวน รายงานบั๊กที่สร้างโดย AI เพิ่มขึ้นอย่างต่อเนื่อง ซึ่งส่วนใหญ่เป็น “low‑effort” และไม่ให้ข้อมูลเชิงลึกเพียงพอ การตรวจสอบและคัดกรองเหล่านี้ทำให้ทีมรักษาความปลอดภัยต้องเสียเวลาเพิ่มขึ้นหลายชั่วโมงต่อวัน

การใช้ AI ในการสร้างรายงานบั๊กมักนำไปสู่ “low‑quality” ที่ขาดขั้นตอนการทำซ้ำ (reproducibility) และไม่มีหลักฐานเชิงเทคนิคที่แน่ชัด ทำให้ค่าตอบแทนตามแบบเดิมอาจไม่สอดคล้องกับคุณค่า การปรับโครงสร้างเป็นสองระดับจึงถูกมองว่าเป็นวิธีการลดภาระงานและเพิ่มประสิทธิภาพของโปรแกรม

นอกจากนี้ GitHub ยังต้องรับมือกับความคาดหวังของชุมชนนักวิจัยที่เคยได้รับค่าตอบแทนในช่วงกว้าง (range) มาก่อน การเปลี่ยนแปลงนี้จะช่วยให้ผู้ส่งรายงานทราบล่วงหน้าว่าการค้นพบแต่ละระดับอาจได้ค่าเท่าใด ลดความไม่แน่นอนและเพิ่มความโปร่งใส

New Program Structure

ระบบใหม่จะแบ่งเป็นสองส่วนหลัก:

• Public program – เปิดให้กับนักวิจัยทุกคนที่ลงทะเบียนผ่าน HackerOne โดยมีการกำหนดค่าตอบแทนคงที่ตามระดับความรุนแรงของบั๊ก
• Private invitation‑only program – เชิญเฉพาะนักวิจัย “VIP” ที่เคยแสดงผลงานคุณภาพสูงมาเข้าร่วม ซึ่งจะได้รับค่าตอบแทนที่สูงกว่า 3‑4 เท่าของระดับสาธารณะ

การเพิ่มข้อกำหนด HackerOne signal ให้กับนักวิจัยใหม่ โดยต้องมีโอกาส “สร้างประวัติ” อย่างน้อยสี่ครั้งก่อนที่จะได้รับสิทธิ์เข้าร่วมโปรแกรม นโยบายนี้เป็นอีกขั้นตอนหนึ่งที่มุ่งลดจำนวนรายงาน AI‑generated ที่ไม่มีคุณค่า

ระบบสองชั้นยังช่วยให้ GitHub สามารถแยกการจัดการบั๊กระหว่าง “high‑impact” กับ “low‑impact” ได้อย่างชัดเจน ทำให้ทีมรักษาความปลอดภัยสามารถโฟกัสกับปัญหาที่สำคัญที่สุดก่อน

Payment Details

สำหรับ public program GitHub ปรับค่าตอบแทนเป็นจำนวนเงินคงที่ตามระดับความรุนแรงดังต่อไปนี้:

• ระดับต่ำ (Low) – $250**
• ระดับกลาง (Medium) – $2,000**
• ระดับสูง (High) – $5,000**
• ระดับวิกฤติ (Critical) – $10,000**

ค่าตอบแทนนี้แตกต่างจากช่วงก่อนหน้าที่กำหนดเป็นช่วงราคา (range) เช่น $500‑$1,000 สำหรับระดับต่ำและ $10,000‑$30,000 สำหรับระดับวิกฤติ การทำให้รางวัลเป็นจำนวนคงที่ช่วยลดความสับสนของนักวิจัยและทำให้ทีมตรวจสอบสามารถประเมินรายงานได้เร็วขึ้น

สำหรับ VIP researchers ที่ได้รับเชิญเข้าร่วมโปรแกรมส่วนตัว ค่าตอบแทนจะอยู่ในระดับที่สูงกว่า 3‑4 เท่า โดยอิงตามความรุนแรงเดียวกัน ตัวอย่างเช่น รายงานวิกฤติอาจได้รับเงินถึง $30,000–$40,000** ซึ่งเป็นการกระตุ้นให้นักวิจัยคุณภาพสูงมุ่งเน้นส่งรายงานที่มีผลกระทบจริง

Impact on Researchers

นักวิจัยระดับทั่วไปจะต้องปรับตัวให้สอดคล้องกับรูปแบบค่าตอบแทนใหม่ ซึ่งอาจทำให้บางคนเห็นว่ารางวัลลดลง แต่ความโปร่งใสของระบบคงที่ช่วยให้พวกเขาคาดการณ์รายได้ได้ชัดเจนขึ้น อีกทั้งการเพิ่มข้อกำหนด signal ทำให้ต้องสร้างผลงานที่พิสูจน์คุณภาพก่อนจะเข้าถึงโปรแกรมระดับ VIP

สำหรับนักวิจัย “VIP” ที่ได้รับเชิญ ค่าตอบแทนที่สูงกว่า 3‑4 เท่าเป็นแรงจูงใจสำคัญในการรักษาความสัมพันธ์กับ GitHub และอาจกระตุ้นให้ผู้เชี่ยวชาญในวงการย้ายไปทำงานร่วมกับแพลตฟอร์มนี้มากขึ้น การเข้าถึงข้อมูลและเครื่องมือสนับสนุนจากทีม Product Security ของ GitHub ยังเป็นประโยชน์เพิ่มเติม

โดยรวมแล้ว การปรับโครงสร้างโปรแกรม bug bounty นี้คาดว่าจะช่วยลด “noise” จากรายงาน AI‑generated ที่ไม่มีคุณค่า และเพิ่มสัดส่วนของรายงานที่มีความสำคัญต่อการรักษาความปลอดภัยของแพลตฟอร์ม

Future Outlook

GitHub ยังไม่ได้เปิดเผยแผนระยะยาวเพิ่มเติมเกี่ยวกับการจัดการ AI‑generated reports แต่จากคำชี้แจงของ Catherine Cassell บริษัทตั้งเป้าหมายที่จะ “สร้างประสบการณ์ที่สะท้อนความจริงจังในการทำงานนี้” และรักษาความเชื่อมั่นของนักวิจัยต่อไปในอนาคต

อุตสาหกรรม security ทั้งหลายกำลังเฝ้าติดตามว่าการปรับโครงสร้างดังกล่าวจะส่งผลอย่างไรต่อมาตรฐานของโปรแกรม bug bounty โดยรวม หาก GitHub สามารถลดภาระการตรวจสอบรายงานที่ไม่มีคุณภาพได้จริง ๆ จะเป็นแบบอย่างให้แพลตฟอร์มอื่น ๆ นำไปใช้เป็นแนวทาง

Summary

GitHub ปรับเปลี่ยนโปรแกรม bug bounty ให้เป็นระบบสองชั้นตั้งแต่ 27 กรกฎาคม 2569 เพื่อตอบสนองต่อการเพิ่มขึ้นของรายงาน AI‑generated ที่คุณภาพต่ำ ค่าตอบแทนในส่วนสาธารณะถูกกำหนดเป็นจำนวนคงที่ และนักวิจัย VIP จะได้รับรางวัลสูงกว่า 3‑4 เท่า การเปลี่ยนแปลงนี้มุ่งลดภาระการคัดกรองและส่งเสริมคุณภาพของรายงานความปลอดภัย.