A partir del 27 de julio de 2026, GitHub reducirá significativamente los pagos de sus recompensas públicas por errores, estableciendo montos fijos más bajos para priorizar la calidad sobre la cantidad. Implementará un nivel VIP exclusivo con pagos más altos para investigadores destacados, buscando reducir el ruido generado por reportes automatizados. Este cambio refleja la creciente influencia de la IA, que facilita el hallazgo de fallos pero satura a los equipos con reportes de baja calidad.





A partir del 27 de julio de 2026, GitHub reducirá los pagos públicos de sus recompensas por errores (bug bounty) al menos a la mitad en cada nivel de gravedad. Los hallazgos críticos bajarán de los 20.000-30.000$ a unos 10.000$ fijos, mientras que su nivel VIP permanente, solo para invitados, pagará 30.000$ o más.

Los informes enviados antes de esa fecha, incluidos los que ya están en la cola de triaje de GitHub, mantendrán los términos de pago anteriores.

GitHub afirmó que estos cambios pretenden reducir el ruido y, al mismo tiempo, ofrecer a los investigadores consolidados respuestas más rápidas, mayores recompensas y un acceso más cercano a su equipo de ingeniería de seguridad.

"No ganas más enviando más", dijo la compañía. "Ganas más enviando mejores reportes".

El programa público pasará de rangos flexibles a pagos fijos:

* Baja: 250$, frente a los 617-2.000$
* Media: 2.000$, frente a los 4.000-10.000$
* Alta: 5.000$, frente a los 10.000-20.000$
* Crítica: 10.000$, frente a los 20.000-30.000$+

Se ha calculado que las nuevas tarifas públicas son un 50% más bajas para los hallazgos medios, altos y críticos, y aproximadamente un 59% más bajas para los informes de gravedad baja si se miden frente al límite inferior de los rangos anteriores de GitHub ([enlace]).

GitHub señaló que los pagos fijos deberían eliminar la incertidumbre y la carga del triaje, aunque todavía podría otorgar bonificaciones discrecionales por trabajos excepcionales.

El calendario VIP establece pagos de 1.000$ para hallazgos de gravedad baja, 7.500$ para media, 20.000$ para alta y 30.000$ o más para vulnerabilidades críticas.

Puedes calificar para el programa privado informando al menos una vulnerabilidad crítica, dos altas, cuatro medias o siete de gravedad baja. El anuncio no especifica un plazo para cumplir estos umbrales ni dice si la calificación garantiza una invitación. GitHub indicó que los criterios completos aparecerán en su página pública de HackerOne ([enlace]).

GitHub no ha revelado el umbral de señal de HackerOne que aplicará. La empresa dice que los investigadores que estén por debajo de este recibirán hasta cuatro envíos iniciales.

Por separado, las reglas generales de HackerOne ([enlace]) otorgan a los nuevos investigadores cuatro informes de prueba por programa en un periodo móvil de 30 días.

Cuando tu propia ia encuentra el error primero

Los controles de informes de GitHub llegan mientras la IA hace que los hallazgos candidatos sean más baratos de generar y la revisión de código más barata de repetir. Más investigadores pueden producir hallazgos potenciales, mientras que los equipos internos pueden escanear el código, validar problemas e introducir correcciones en las tuberías de lanzamiento y commit antes de que llegue un informe externo.

Un día antes del anuncio de GitHub, Google presentó Gemini 3.5 Flash Cyber, un modelo ligero ajustado para encontrar, validar y parchear vulnerabilidades de software. Google dijo que el modelo estará disponible inicialmente y de forma exclusiva para gobiernos y socios de confianza a través de CodeMender, su agente de seguridad de código, como parte de un piloto limitado.

Google afirmó que el modelo puede invocarse repetidamente para examinar más rutas de código sin utilizar un modelo fronterizo más grande en cada intento. La compañía lo posiciona para escaneos frecuentes de repositorios, revisiones de lanzamiento urgentes y tuberías de escaneo de commits.

En pruebas realizadas por Google, Gemini 3.5 Flash Cyber encontró 55 problemas V8 confirmados únicos, en comparación con 47 para Gemini 3.5 Flash principal y 36 para Claude Opus 4.6.

Google dijo por separado que su equipo de Investigación de Vulnerabilidades de Cloud utilizó el modelo para encontrar fallos de ejecución remota de código en APIs públicas y un fallo de corrupción de memoria en un servicio de producción sensible en dos horas. El modelo generó entonces lo que Google describió como un exploit RCE 100% fiable que eludía ASLR y W^X. Las cifras de referencia y el resultado del exploit de producción han sido reportados por Google y no han sido verificados independientemente.

Un equipo de seguridad interno puede dar a un agente el contexto del repositorio, un modelo de amenazas específico del proyecto y un entorno de validación adaptado al sistema en ejecución. Sistemas como Codex Security de OpenAI pueden entonces probar hallazgos, generar pruebas de concepto funcionales y proponer correcciones que tengan en cuenta la intención del sistema y el comportamiento circundante.

El trabajo puede ocurrir durante el desarrollo y en cada commit relevante, en lugar de esperar a una evaluación programada o a un informe externo. La IA no sustituye a una prueba de penetración, pero la revisión del código fuente, la generación de pruebas y la validación inicial se están volviendo más fáciles de automatizar.

Los probadores humanos mantienen más valor donde el trabajo requiere encadenar debilidades a través de límites de confianza, reconocer fallos de lógica de negocio, modelar rutas de ataque realistas y demostrar un impacto material.

Daniel Stenberg, mantenedor de curl, puso fin a las recompensas monetarias por errores del proyecto ([enlace]) a finales de enero de 2026, después de que la tasa de vulnerabilidades confirmadas cayera por debajo del 5% debido al aumento de informes basura generados por IA.

Para abril, después de que curl terminara con las recompensas en efectivo y regresara a HackerOne ([enlace]), los informes llegaban a casi el doble de la tasa de 2025 y entre el 15% y el 16% se confirmaban como vulnerabilidades. Stenberg dijo que ([enlace]) casi todos los informes parecían asistidos por IA y la mayoría eran ahora de alta calidad.

En conjunto, los controles de informes de GitHub, las llamadas repetidas al modelo de Google y el creciente volumen de envíos de curl apuntan al mismo cambio. La IA puede inundar a los mantenedores con basura, pero también puede hacer que los investigadores capaces sean más rápidos y permitir que los equipos internos examinen más código, con más frecuencia.

Un hallazgo candidato que parezca plausible se está volviendo abundante. El triaje, la prueba del exploit, el contexto del producto, la divulgación y la remediación siguen siendo limitados. Un exploit fiable, una cadena de ataque específica del producto o un hallazgo que cruce un límite que el proveedor no comprendió siguen siendo escasos.

Los requisitos de señal y las recompensas públicas más bajas pueden suprimir el ruido automatizado, pero también pueden dificultar la entrada a investigadores capaces sin un historial establecido en HackerOne. Para un nuevo investigador de HackerOne, un límite de programa de cuatro informes deja poco margen para errores, falta de familiaridad con el modelo de seguridad de GitHub o un hallazgo legítimo que inicialmente sea calificado por debajo de las expectativas.

La estructura solo para invitados también concentra las relaciones más cercanas de GitHub con los investigadores entre personas que ya han tenido éxito dentro del programa. Esto puede mejorar la velocidad y la calidad de los informes. También puede reducir el rango de personas que examinan la plataforma, una de las principales ventajas de un programa de recompensas público.

La reestructuración sigue a un cambio de política de mayo de 2026 ([enlace]) que exigía pruebas de concepto funcionales, impacto demostrado, validación antes del envío y una atención más cercana al alcance de GitHub y a los hallazgos no elegibles.

GitHub afirmó que agradece la investigación de seguridad asistida por IA y que ya utiliza la IA en sus programas de seguridad internos. Los investigadores siguen siendo responsables de reproducir y verificar cualquier cosa que sus herramientas produzcan.

"Las herramientas no importan", dijo GitHub. "Lo que importa es la calidad del trabajo".

Hasta el 22 de julio, una revisión de The Hacker News encontró que la página de recompensas de GitHub ([enlace]) todavía enumeraba entre 20.000 y 30.000$+ para informes críticos, mientras que sus preguntas frecuentes ([enlace]) mantenían la prueba de elegibilidad VIP anterior de al menos 20.000$ ganados y dos informes enviados durante los dos años precedentes. Las preguntas frecuentes también decían que cumplir esos criterios no garantizaba una invitación y que GitHub revisaba a los candidatos trimestralmente.


La nueva tabla de github tasa el cambio directamente: 10.000$ por un hallazgo público crítico y 30.000$ o más por un hallazgo vip crítico. el descubrimiento inicial se está volviendo más barato. el impacto verificado y específico del producto es donde permanece la prima.

Fuente:
THN