기준을 높인다: GitHub 버그 바운티 프로그램의 품질, 공동 책임, 그리고 미래

GitHub는 1억 8천만 명 이상의 개발자와 6억 개 이상의 저장소를 지키기 위해 외부 보안 연구자들과의 협업을 계속 중시하면서도, 버그 바운티의 품질 기준을 높이겠다고 밝혔다.

최근에는 AI 도구 확산으로 제출량이 늘었지만, 실제 보안 영향이 없는 이론적 보고와 이미 공개된 제외 항목이 함께 증가했다. 앞으로는 작동하는 PoC와 명확한 영향이 없는 제보를 더 엄격하게 보며, scope와 ineligible findings list를 확인하지 않은 보고서는 Not Applicable로 닫힐 수 있고 HackerOne Signal과 평판에도 영향을 줄 수 있다.

보고서는 짧고 구조적으로 작성해야 한다.

• 짧은 요약
• 재현 절차와 증거
• 공격자가 실제로 얻는 영향

AI, 스캐너, 정적 분석을 써도 최종 검증은 연구자의 책임이다. 검증·재현·PoC가 있는 AI 보조 제보는 환영하지만, 확인되지 않은 출력은 잡음으로 취급한다.

GitHub는 shared responsibility 모델도 다시 강조했다. 사용자가 악성 저장소, 코드, 파일, 프롬프트를 직접 신뢰하고 다루는 상황은 보안 경계 침해가 아니라 사용자의 선택으로 본다.

• 어떤 저장소와 이슈, 코드를 신뢰할지 고르는 것은 사용자 책임이다.
• 실행 전에 코드, 스크립트, 워크플로를 검토해야 한다.
• 저장소를 클론하는 행위 자체가 그 코드를 신뢰하겠다는 선택이다.
• 토큰 관리와 로컬 보안 설정도 사용자 몫이다.

대신 실제 방어를 우회하는 blind spot은 환영하며, 보안 영향이 크지 않지만 코드나 문서 수정을 이끈 유효한 제보는 앞으로 GitHub swag로 인정한다. GitHub는 노이즈를 줄여 더 빠른 triage와 더 높은 영향도의 연구에 보상을 집중하겠다고 밝혔다.