GitHub, güvenlik açıklarını bildiren araştırmacılara yönelik bug bounty programında kapsamlı değişikliklere gitti. Şirket, daha yüksek ödüller sunan davet usulü yeni bir VIP programı oluştururken, yapay zekâ ile hazırlanan düşük kaliteli raporların sayısını azaltmak için başvuru sürecine de yeni sınırlamalar getirdi. Yapılan düzenlemelerle GitHub bug bounty programı, yüksek etkili güvenlik açıklarını bulan araştırmacıları daha fazla ödüllendirmeyi hedefliyor.

Yeni VIP Programı Yüksek Kaliteli Araştırmaları Öne Çıkaracak

GitHub’un duyurusuna göre bug bounty programına katılan herkes artık aynı ödeme sisteminden yararlanamayacak. Şirket, kalıcı olarak uygulanacak davet usulü bir VIP programı oluşturduğunu açıkladı. Programa kabul edilen araştırmacılar daha yüksek ödüller almanın yanı sıra daha hızlı geri dönüş, öncelikli değerlendirme ve GitHub’ın güvenlik mühendisleriyle daha yakın çalışma fırsatı elde edecek.

VIP programına katılabilmek için belirli başarı kriterlerinin karşılanması gerekiyor. Araştırmacıların en az bir kritik, iki yüksek, dört orta veya yedi düşük önem seviyesinde güvenlik açığı tespit etmiş olması şart koşuluyor. GitHub, bu yaklaşım sayesinde düşük etkili raporların yerine daha kritik güvenlik açıklarının araştırılmasını teşvik etmeyi amaçlıyor.

VIP statüsüne ulaşan araştırmacılar için ödeme miktarları da önemli ölçüde artırılıyor. Buna göre düşük önem seviyesindeki açıklar için 1.000 dolar, orta seviyedeki açıklar için 7.500 dolar, yüksek seviyedeki açıklar için 20.000 dolar, kritik güvenlik açıkları için ise 30.000 doların üzerinde ödül verilecek.

VIP programı dışında kalan araştırmacılar ise daha düşük ödül seviyeleriyle devam edecek. Yeni ödeme tablosuna göre açık programa katılan kişiler düşük seviyedeki açıklar için 250 dolar, orta seviyedeki açıklar için 2.000 dolar, yüksek seviyedeki açıklar için 5.000 dolar, kritik güvenlik açıkları için ise 10.000 dolar kazanabilecek.

GitHub bug bounty programı kapsamında dikkat çeken bir diğer değişiklik ise HackerOne altyapısında uygulamaya alınan yeni sinyal sistemi oldu. Şirket, özellikle son dönemde artış gösteren yapay zekâ destekli ve düşük emekle hazırlanan güvenlik raporlarını azaltmak amacıyla ilk kez başvuru sayısını sınırlandırıyor.

Yeni uygulamaya göre programa katılan araştırmacılara başlangıçta yalnızca dört rapor gönderme hakkı verilecek. GitHub, gerçek güvenlik açığı bulan araştırmacıların yeteneklerini göstermesi için bu sayının yeterli olduğunu savunuyor. Başarılı raporlar sunan kullanıcılar zamanla daha fazla güven kazanarak programa normal şekilde devam edebilecek.

Şirket ayrıca yeni ödeme modelinin geriye dönük uygulanmayacağını da duyurdu. 26 Temmuz 2026 tarihine kadar gönderilen tüm güvenlik raporları, önceki ödül tablosu üzerinden değerlendirilecek. GitHub’ın attığı bu adım, üretken yapay zekâ araçlarının güvenlik araştırmalarında yaygınlaşmasının ardından bug bounty programlarının sürdürülebilirliğini korumaya yönelik yeni yaklaşımların benimsendiğini gösteriyor. Özellikle yapay zekâ tarafından üretilen çok sayıda düşük kaliteli bildirimin güvenlik ekipleri üzerindeki iş yükünü artırması, benzer programlara sahip diğer teknoloji şirketlerinin de ilerleyen dönemde benzer önlemler alabileceğine işaret ediyor.