The Hacker Newsは2026年7月22日、GitHubがバグバウンティプログラムを再編し、2026年7月27日から一般公開プログラムの報奨金を大幅に引き下げると報じました。Criticalの報告は従来の2万～3万ドル以上から固定1万ドルとなる一方、実績のある研究者を対象とする招待制VIPプログラムでは、Criticalに3万ドル以上が支払われます。GitHubは、AI生成を含む低品質な報告を減らし、実証された高品質な脆弱性調査へ対応資源を集中する方針です。
The Hacker News：GitHub Cuts Public Bug Bounty Payouts, Moves Top Rewards to VIP Tier
この記事のポイント
影響のあるシステム・対象者
- GitHubの一般公開バグバウンティプログラム
- GitHubの招待制VIPバグバウンティプログラム
- HackerOneを通じてGitHubへ脆弱性を報告するセキュリティ研究者
- 2026年7月27日以降に新規提出される脆弱性報告
- HackerOneのSignal要件を満たしていない研究者
- AIツールや自動スキャナーを使用して脆弱性を調査する研究者
- GitHubのバグバウンティを研究活動や収益の一部としている個人・組織
- 外部研究者から届く脆弱性報告を受け付ける企業のPSIRTやセキュリティ担当部門
今回の発表は、GitHub製品に新たな脆弱性が発見されたという内容ではありません。GitHubが運営する脆弱性報告制度の報奨金、参加条件、対応方針が変更されるものであり、GitHub利用者にソフトウェアの更新を求めるものではありません。
推奨される対応
- GitHubへ報告予定の脆弱性について、2026年7月27日以降の新しい報奨金額を確認する
- 2026年7月27日より前に報告する場合でも、検証が不十分な状態で提出を急がない
- 再現可能な手順と動作するPoCを用意する
- 理論上の可能性だけでなく、実際に越えられるセキュリティ境界と影響を示す
- GitHubが公開する対象範囲と報奨金対象外の項目を提出前に確認する
- AIや自動スキャナーが出力した内容を、人が再現・検証してから報告する
- HackerOneのSignalと投稿可能件数を確認する
- 投稿回数が制限されている場合は、重複や誤検知の可能性を十分に確認する
- VIPプログラムの資格基準を満たしていても、招待が確約されるとは判断しない
- GitHubの公式ブログとHackerOneプログラムページで最新の条件を継続的に確認する
2026年7月27日より前に提出された報告は、GitHubのトリアージ待ちとなっているものを含め、従来の報奨金体系で評価されると説明されています。ただし、旧制度の適用を目的に検証不足の報告を急いで提出すると、Not Applicableや重複として処理され、HackerOne上の評価へ影響する可能性があります。
この記事に出てくる専門用語
- バグバウンティ：企業や組織が外部のセキュリティ研究者から脆弱性の報告を受け付け、内容や深刻度に応じて報奨金を支払う制度です。
- 公開プログラム：定められた参加条件を満たす研究者が、広く参加できるバグバウンティプログラムです。
- VIPプログラム：一定の実績や品質基準を満たした研究者を、運営企業が個別に招待する非公開のバグバウンティプログラムです。
- Critical：サーバー上での任意コード実行、認証の完全な回避、重要な本番データへのアクセスなど、GitHubと利用者へ重大な影響を与える脆弱性の区分です。
- PoC：Proof of Conceptの略称で、脆弱性が実際に再現できることを示す実証コードや手順です。
- トリアージ：提出された脆弱性報告を確認し、再現性、対象範囲、深刻度、重複の有無などを評価する作業です。
- HackerOne：企業とセキュリティ研究者をつなぎ、脆弱性報告、連絡、報奨金の支払いなどを管理するプラットフォームです。
- HackerOne Signal：研究者が提出した報告のうち、有効と評価された割合などを基に算出される品質指標です。プログラムによっては、一定以上のSignalが参加条件として設定されます。
- Trial Report：プログラムのSignal要件を満たしていない研究者に与えられる、回数制限付きの試行投稿枠です。
- Not Applicable：報告された問題が脆弱性として成立しない、対象範囲外である、具体的なセキュリティ影響が示されていない場合などに使用される判定です。
- Duplicate：同じ脆弱性がすでに別の研究者から報告されている場合に付けられる判定です。通常、後から提出した報告には報奨金が支払われません。
- AI支援型セキュリティ調査：大規模言語モデルや自動分析ツールを使用して、コードの検査、脆弱性候補の発見、PoC作成などを補助する調査方法です。
一般公開プログラムの報奨金を固定額へ変更
GitHubは2026年7月27日から、一般公開バグバウンティプログラムの報奨金を、深刻度ごとの変動幅から固定額へ変更します。従来は、同じ深刻度でも攻撃の複雑さ、影響範囲、利用者への危険性などに応じて、一定の範囲内で報奨金が決定されていました。新制度では、Lowが250ドル、Mediumが2,000ドル、Highが5,000ドル、Criticalが1万ドルとなります。
| 深刻度 | 従来の一般公開プログラム | 新しい一般公開プログラム | VIPプログラム |
|---|---|---|---|
| Low | 617～2,000ドル | 250ドル | 1,000ドル |
| Medium | 4,000～1万ドル | 2,000ドル | 7,500ドル |
| High | 1万～2万ドル | 5,000ドル | 2万ドル |
| Critical | 2万～3万ドル以上 | 1万ドル | 3万ドル以上 |
従来の最低額と比較すると、Medium、High、Criticalは50％、Lowは約59％の引き下げとなります。従来の上限額と比べた場合は、さらに大きな減額です。GitHubは、報奨金を固定することで研究者が受取額を予測しやすくなり、個別の金額決定に必要なトリアージ作業も削減できると説明しています。
一方で、通常の水準を上回る優れた調査に対しては、裁量による追加ボーナスを支払う余地を残しています。新しい固定額がすべての報告に対する絶対的な上限になるわけではありませんが、一般公開プログラムにおける基本報酬は大きく減少します。
出典：GitHub Blog「Next chapter: Restructuring GitHub’s bug bounty program」
高額報酬と優先対応を招待制VIPへ集中
GitHubは、実績のある研究者を対象としたVIPプログラムを、恒久的な招待制プログラムとして運用します。VIP参加者には一般公開プログラムより高い報奨金だけでなく、短い応答時間、GitHubのセキュリティエンジニアとの緊密な連携などを提供するとしています。
VIPプログラムの報奨金は、Lowが1,000ドル、Mediumが7,500ドル、Highが2万ドル、Criticalが3万ドル以上です。Criticalでは一般公開プログラムの3倍以上となり、従来の一般公開プログラムにおける上位水準がVIP側へ移される形となります。
GitHubの公式発表では、VIPプログラムの資格基準として、Criticalを1件、Highを2件、Mediumを4件、またはLowを7件報告することのいずれかが示されています。ただし、これらの件数を達成する期間や、条件を満たした研究者が必ず招待されるかについては、発表時点で明確にされていません。
GitHubは、より詳しい資格条件をHackerOne上の公開プログラムページへ掲載するとしています。今回示された件数は、少なくとも審査対象となるための実績基準として捉え、参加が自動的に確定する条件とは区別する必要があります。
出典：GitHub Blog「Next chapter: Restructuring GitHub’s bug bounty program」
Signal要件と投稿回数制限で低品質な報告を抑制
一般公開プログラムでは、HackerOneのSignal要件も新たに導入されます。GitHubは、増加する低労力の報告やAI生成レポートによるノイズを減らし、再現性と影響が明確な報告へ対応時間を集中することを目的としています。
GitHubが設定する具体的なSignalの基準値は、2026年7月22日時点では公開されていません。基準を満たしていない研究者にも一定数の試行投稿が認められますが、利用できる報告回数には制限があります。GitHubの発表では、最大4件の初回投稿が可能と説明されています。
HackerOneの一般的なルールでは、Signal要件を満たさない新規研究者には、一つのプログラムにつき30日間の移動期間内で4件のTrial Reportが与えられます。複数プログラムを合計したプラットフォーム全体の上限も設定されているため、誤検知や対象範囲外の報告へ枠を使用すると、有効な脆弱性を提出できなくなる可能性があります。
この仕組みは、自動スキャナーが出力した候補を検証せずに大量送信する行為を抑える効果が期待されます。その一方で、HackerOne上の実績が少ない研究者にとっては、GitHub固有のセキュリティモデルを学びながら試行錯誤する余地が小さくなる可能性もあります。
出典：GitHub Blog「Next chapter: Restructuring GitHub’s bug bounty program」、HackerOne Help Center「Restricted from Submissions」
AI利用を禁止せず、検証責任を研究者へ求める
GitHubは、AIを使用したセキュリティ調査そのものを禁止していません。GitHub自身も内部のセキュリティプログラムでAIを活用しており、外部研究者がAIアシスタント、自動スキャナー、静的解析ツールなどを使用することも認めています。
ただし、利用したツールにかかわらず、報告内容を再現し、脆弱性として成立することを確認する責任は研究者にあります。GitHubは2026年5月の方針変更でも、動作するPoC、具体的なセキュリティ影響、対象範囲の確認、提出前の検証を求めています。
「特定の入力でエラーが発生した」「AIが脆弱性の可能性を指摘した」という情報だけでは、十分な報告とは評価されない可能性があります。攻撃者がどの権限やデータへ到達できるのか、どのセキュリティ境界を越えられるのか、どの利用者やシステムに影響するのかを、再現可能な証拠とともに示す必要があります。
AIによって脆弱性候補を見つける作業が高速化する一方、製品固有の仕様を理解し、誤検知を除外し、複数の問題を現実的な攻撃経路として組み合わせる作業の重要性は高まっています。新制度では、単純な発見件数よりも、検証済みの影響と調査品質が報酬やVIP参加に強く反映されると考えられます。
新制度が研究者と脆弱性開示へ与える影響
GitHubの新制度は、外部研究者との関係を縮小するというより、一般公開プログラムをVIPプログラムへの入口として再設計するものです。公開枠では幅広い研究者から報告を受け付けながら、継続して高品質な成果を出した研究者へ、より高い報酬と迅速な対応を提供します。
この構造は、GitHubのシステムを深く理解し、複雑な攻撃経路や重大な影響を証明できる研究者にとって、より有利に働く可能性があります。セキュリティエンジニアとの継続的な関係が構築されれば、報告内容の理解や修正までの連携も進めやすくなると考えられます。
一方で、一般公開枠の報奨金引き下げとSignal要件は、実績の少ない研究者がGitHubを調査する動機を弱める可能性があります。公開型プログラムの利点の一つは、企業が想定していない背景や視点を持つ幅広い研究者が参加できることです。参加者が既存の実績者へ集中した場合、調査視点の多様性が狭まる可能性も否定できません。
GitHubは、報奨金だけでなく、応答時間、深刻度判定の説明、コミュニティとの交流なども改善するとしています。制度変更の評価には、今後のトリアージ時間、VIPへの招待実績、新規研究者の参加状況、有効な脆弱性報告数などを継続して確認する必要があります。
出典：GitHub Blog「Next chapter: Restructuring GitHub’s bug bounty program」
研究者が提出前に確認すべきポイント
新制度の開始後にGitHubへ報告する研究者は、報告件数ではなく、一件ごとの再現性と影響を重視する必要があります。最初にGitHubの対象範囲と報奨金対象外の項目を確認し、既知の仕様や単なるセキュリティ強化案を脆弱性として提出しないことが重要です。
報告書には、問題の概要、前提条件、再現手順、実際の結果、期待される結果、攻撃者が得られる権限やデータを簡潔に記載します。動画だけではなく、GitHubの担当者が同じ結果を再現できる文章形式の手順と、必要なリクエスト、レスポンス、コードなどを含める必要があります。
AIを使用する場合は、AIが生成したPoCが実際のGitHub環境や許可された検証環境で動作するかを確認し、存在しないAPI、誤った権限モデル、架空の攻撃結果が含まれていないかを人が検証してください。自動生成された説明をそのまま提出するのではなく、不要な文章を除き、具体的な証拠を中心に構成することが求められます。
また、2026年7月27日前後は、GitHubの公式ブログ、報奨金ページ、FAQ、HackerOneプログラムページの記載が更新途中となる可能性があります。提出時に表示されている最新のポリシーを保存し、適用される報奨金体系と参加条件を確認してから報告することが重要です。
出典：GitHub Blog「Raising the bar: Quality, shared responsibility, and the future of GitHub’s bug bounty program」、GitHub Bug Bounty
参考文献・記事一覧
- The Hacker News：GitHub Cuts Public Bug Bounty Payouts, Moves Top Rewards to VIP Tier
- GitHub Blog：Next chapter: Restructuring GitHub’s bug bounty program
- GitHub Blog：Raising the bar: Quality, shared responsibility, and the future of GitHub’s bug bounty program
- GitHub Bug Bounty：Rewards Structure
- GitHub Bug Bounty：Frequently Asked Questions
- HackerOne：GitHub Security Bug Bounty
- HackerOne Help Center：Restricted from Submissions
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
