GitHub contro i report fatti dall'IA: ristruttura il Bug Bounty e taglia i compensi pubblici

GitHub ha ridimensionato la struttura dei compensi destinati alla ricerca di vulnerabilità e ha introdotto un programma VIP per contenere l'impatto dei report generati in automatico tramite strumenti di intelligenza artificiale. L'esplosione di segnalazioni a basso valore, create da utenti mediante modelli linguistici e senza alcuna verifica tecnica, ha finito per sommergere il team di sicurezza interno. Una situazione insostenibile che ha costretto l'azienda a riorganizzare le priorità operative e a rivedere le ricompense destinate al circuito pubblico.

La decisione nasce dalla necessità di porre un argine al volume spropositato di file ricevuti negli ultimi mesi. L'ampia disponibilità di sistemi di IA ha moltiplicato il numero di tentativi di segnalazione per presunte falle prive di reale consistenza. Il carico di lavoro necessario per esaminare ciascun invio e separare le vulnerabilità autentiche dai falsi positivi ha paralizzato l'attività degli specialisti di sicurezza, compromettendo la gestione tempestiva dei problemi più gravi.

Canale VIP e compensi ridotti per la comunità pubblica: cosa cambia su GitHub

Per limitare il fenomeno, la dirigenza ha applicato un taglio ai pagamenti del programma di bug bounty pubblico. L'obiettivo consiste nel ridurre l'attrattività economica per chi tenta di monetizzare invii massivi condotti senza criterio. Parallelamente, l'azienda ha istituito un canale d'élite riservato a ricercatori accreditati, all'interno del quale i compensi per la scoperta di bug critici possono raggiungere una cifra massima di 30.000 dollari.

L'integrazione del circuito VIP crea un filtro all'ingresso pensato per separare il lavoro dei professionisti con comprovata esperienza dal rumore causato dai sistemi automatizzati. Attraverso questa corsia preferenziale, la piattaforma fa in modo che i finanziamenti più elevati finiscano esclusivamente nelle mani di chi garantisce analisi accurate, sollevando il proprio personale dall'onere di smistare segnalazioni palesemente inaffidabili.

La ristrutturazione evidenzia una difficoltà diffusa nel settore della cybersecurity. La facilità con cui è possibile generare report superficiali mediante strumenti di intelligenza artificiale ha trasformato i programmi pubblici di ricerca bug in un campo di scontro tra invii automatici e capacità di triage delle aziende. La scelta di GitHub delinea una linea precisa per la gestione della sicurezza, con lo scopo di ricucire il rapporto tra la piattaforma e i migliori ricercatori indipendenti.