GitHub обновил программу по поиску уязвимостей и на фоне Месяца осведомлённости о кибербезопасности представил одного из ведущих исследователей, участвующих в Bug Bounty Program, под ником @vaib25vicky. Компания отмечает вклад сообщества, которое помогает выявлять и устранять уязвимости до их эксплуатации и тем самым защищать проекты миллионов разработчиков.
За более чем десять лет существования Bug Bounty Program исследователи со всего мира помогают GitHub находить проблемы безопасности, в том числе в новых продуктах на основе ИИ, таких как GitHub Copilot и Copilot coding agent. По словам компании, в условиях активного развития ИИ-решений сотрудничество с экспертами по традиционным и новым типам атак становится особенно важным.
В этом году GitHub изменил структуру выплат по программе. Акцент сделан на качестве находок, а не на их количестве: большие вознаграждения получают за более серьёзные и значимые уязвимости. Одновременно введена постоянная VIP-программа по приглашениям для исследователей, которые стабильно показывают высокие результаты.
Путь в VIP-программу основан на подтверждённом уровне найденных уязвимостей. Приглашение могут получить исследователи, на чьём счету одна критическая, две высокого уровня, четыре среднего или семь низкого уровня решённых находок. Дополнительные критерии описаны на публичной странице Bug Bounty GitHub.
В октябре, к началу Месяца осведомлённости о кибербезопасности, GitHub выделяет одного из ключевых участников VIP-программы. @vaib25vicky специализируется на проблемах авторизации и контроля доступа и обнаружил ряд сложных и заметных по влиянию уязвимостей. GitHub отмечает, что такой долгосрочный и глубокий фокус на непростой поверхности атак хорошо отражает принципы обновлённой программы поощрений.
Исследователь рассказывает, что интерес к компьютерам появился ещё в детстве, а в университете он много программировал, создавал проекты и экспериментировал. Так он начал понимать системы глубже и находить способы заставить их вести себя иначе, что и стало первым шагом к взлому. Затем случайно узнал о bug bounty и начал искать уязвимости, а GitHub выбрал из-за высокого уровня вознаграждений, технической сложности и положительного опыта взаимодействия с командой.
Говоря о типах уязвимостей, @vaib25vicky отмечает, что не делит работу строго по классам багов. Он изучает конкретную функцию сервиса, разбирается, как она работает, и уже затем ищет пути её неправильного использования. От выбранной функции зависят и классы ошибок, которые он проверяет.
Чтобы поддерживать уровень знаний, исследователь следит за публикациями других специалистов и компаний. Он читает отчёты и разборы реальных находок в блогах и соцсетях, периодически просматривает Hacker News и профильные сабреддиты. Среди любимых ресурсов он называет Google Project Zero, GitHub Security Lab, PortSwigger и Hacker News.
Подход к выбору целей основан на оценке сложности функциональности. Исследователь выбирает те части продукта, которые выглядят на первый взгляд запутанными, и тратит время на их изучение. Если интересных эффектов не возникает, он переходит к следующему участку. Если же функция кажется перспективной, он продолжает активно её использовать, пока не заметит подозрительное поведение, и по ходу проверяет разные типы уязвимостей.
Отвечая на вопрос об использовании ИИ в работе, @vaib25vicky подтверждает, что применяет такие инструменты и что они экономят время и повышают продуктивность. Он сравнивает ИИ с очень быстрым автомобилем, которому по-прежнему нужен опытный водитель: исследователь должен задавать направление и проверять результат.
Комментируя ответственное использование ИИ в bug bounty, исследователь подчёркивает, что все выводы модели нужно проверять вручную и никогда не отправлять в программу ошибку, которую вы сами не подтвердили. ИИ может ускорить работу, но не заменить проверку человеком.
С ростом числа функций на базе ИИ, по его словам, подход к тестированию немного меняется, однако значимая часть проблем по-прежнему связана с авторизацией, недостаточными ограничениями или незамеченными возможностями функций. Такие баги можно находить тем же подходом, что и в классических веб-приложениях.
Главным советом начинающим исследователям @vaib25vicky называет терпение. Он говорит, что прогресс занимает время, и нормально долго изучать цель, прежде чем найти первую уязвимость. Осознание этого в начале пути заметно снизило бы его собственное разочарование.
Вне работы над безопасностью исследователь любит играть в игры и путешествовать. По его словам, лучший способ расслабиться — отправиться в хорошую поездку.
GitHub благодарит @vaib25vicky за участие в спецпроекте и напоминает, что каждое сообщение об уязвимости помогает сделать платформу, продукты и клиентов компании более защищёнными. Исследователей, которых вдохновляет этот пример, GitHub приглашает подавать отчёты об обнаруженных проблемах через платформу HackerOne.
Компания также анонсировала значимые изменения в стандартах Bug Bounty Program. Обновления направлены на приоритет качества отчётов, более чёткое разграничение зон ответственности между командой GitHub и исследователями и изменение подхода к вознаграждениям за находки с низким риском.
Дополнительно GitHub делится исследованиями в сфере ИИ и безопасности: команда рассказывает о целевых сценариях применения агентных ИИ-подходов при поиске уязвимостей, критических ошибках в Android, которые удалось обнаружить, и о том, как запустить тот же открытый агент для анализа безопасности в собственном приложении. В отдельном материале описан новый процесс фаззинга, построенный на GitHub Security Lab Taskflow Agent AI.
По данным материалов GitHub.
