多年来，GitHub通过为研究人员提供相应的奖励和对应的法律安全条款来改进其bug，这一规则似乎没有因为微软收购而停止，并被爆出今年的奖金将全面提升。

近日，代码托管网站GitHub在最近一份报告中表示，已根据其bug奖金计划取消了最高支付上限，并进一步降低该计划对研究人员的法律风险。未来，GitHub将给予各级别bug更高奖励，更多产品被列入奖励范围，对黑客将会出具新的法律保护。

该公司取消了对研究人员发现关键bug的最大奖金限额。一般来说，研究人员发现关键bug的奖励在20,000到30,000美元之间，但GitHub表示，目前在产品中发现严重程度较高的漏洞对研究人员来说更加困难，因此将为真正的前沿研究提供更多奖励。

多年来，bug赏金分为四种不同的严重性类别，即低、中、高和关键，其他水平的奖金额度也将上提。比如，高严重性bug将提供10,000至20,000美元奖励，中等严重性bug奖励范围介于4,000至10,000美元之间，而低严重性bug则介于617至2,000美元之间。

目前，GitHub.com域下托管的所有一手服务都在奖励范围内，包括GitHub Education，GitHub Leaning Lab，GitHub Jobs和GitHub Desktop应用程序。GitHub的企业云现在也包含在该计划中，面向员工的站点githubapp.co和github.net域也是如此。

最后，GitHub希望消除其bug赏金计划对研究人员存在的法律风险，GitHub在其网站政策中添加了一套新的法律安全条款，并提供明确保护措施。

通过新的法律条款，研究人员可以避免违反GitHub网站条款，如果他们的行为专门针对bug赏金计划将不会被起诉，可以放心忽视GitHub协议对逆向工程的限制。如果不小心超越了bug赏金计划范围，Github也会保护研究人员不受同等级别安全条款困扰，并表示不会起诉研究人员。Github在条款中声明如下：

为鼓励研究和负责任地披露安全漏洞，我们不会采取民事或刑事诉讼，也不会因意外或善意违反政策而向执法部门发出通知。

根据计算机欺诈和滥用法案，DMCA以及其他适用的计算机法律，如Cal.Penal Code 502（c），我们认为安全研究和漏洞披露活动符合本政策授权行为。我们放弃任何潜在的DMCA索赔都是保护bug-bounty计划范围内应用程序的技术措施。

完整计划参考Github官方页面：https://bounty.github.com/

创作场景

GitHub 的 bug 赏金计划升级：奖金提高到 3 万美元以上