GitHub, bug bounty ödemelerini yarıya indiriyor: yapay-zekâ üretimi gürültülü rapor akını gerekçe gösterildi
GitHub, 27 Temmuz'dan itibaren kamuya açık bug bounty ödemelerini her önem seviyesinde en az yarı yarıya kesiyor ve kanıtlanmış sicili olan araştırmacılar için özel davetli, daha yüksek ödemeli bir VIP katman açıyor. Gerekçe olarak yapay zekâ ile üretilen düşük kaliteli raporların güvenlik ekibini boğması gösterildi.
GitHub, 27 Temmuz 2026 itibarıyla kamuya açık bug bounty programını köklü biçimde yeniden yapılandırıyor. Kritik önem seviyesindeki bulgular için ödeme, önceki 20.000-30.000+ dolar bandından sabit 10.000 dolara düşürülüyor — pratikte her önem seviyesinde en az yarı yarıya bir kesinti anlamına geliyor.
İki katmanlı yeni yapı
Buna karşılık GitHub, kanıtlanmış sicili olan araştırmacılara özel, yalnızca davetle katılınabilen bir VIP katman açıyor. Bu katmandaki araştırmacılar 30.000 dolar ve üzerinde ödeme alabilecek, güvenlik mühendisliği ekibiyle daha yakın temas kuracak ve daha hızlı geri dönüş alacak.
Değişikliğin gerekçesi
Microsoft bünyesindeki kod platformu, değişikliğin sebebini yapay zekâ araçlarıyla üretilen düşük-efor ve düşük-kaliteli rapor akınına bağlıyor. Bu raporların hacmi, güvenlik ekibinin gerçek ve önemli bulguları triyaj etme kapasitesini zorlamaya başlamış.
Kazanılmış haklar korunuyor
27 Temmuz’dan önce gönderilmiş raporlar — GitHub’ın büyüyen triyaj kuyruğunda bekleyenler dahil — eski ödeme şartlarında değerlendirilmeye devam edecek.
Neden önemli
Bu değişiklik, yapay zekâ araçlarının güvenlik araştırması alanına girişiyle ortaya çıkan yeni bir dengeleme sorununu gözler önüne seriyor: otomasyon rapor hacmini artırırken, kalite kontrolü aynı hızda ölçeklenemiyor. Büyük platformların benzer iki-katmanlı (kitle + doğrulanmış uzman) modellere yönelmesi, sektörde bir emsal oluşturabilir.
Yapay zekâ araçlarıyla otomatik güvenlik açığı taraması yapıp toplu rapor gönderen bağımsız araştırmacılar için gelir modeli önemli ölçüde değişiyor; kurumsal bug bounty programlarında benzer iki-katmanlı yapıların yaygınlaşması beklenebilir.
- GitHub Blog — Next chapter: Restructuring GitHub's bug bounty program · 2026-07-22
- The Hacker News · 2026-07-22
- The Register · 2026-07-23
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.