GitHub no 27. jūlija uz pusi samazina publiskās kļūdu atlīdzības. Par kritisku ievainojamību pētnieks tagad saņems fiksētus 10 000 dolāru, kaut līdz šim tā pati atrade nesa no 20 000 līdz vairāk nekā 30 000 dolāriem. Vidēja un augsta līmeņa ziņojumiem likmes krīt aptuveni tikpat.
Izmaiņas 22. jūlijā paziņoja GitHub produktu drošības inženiere Ketrīna Kasela (Catherine Cassell). Vienlaikus uzņēmums atver slēgtu VIP līmeni, kurā pieredzējušiem pētniekiem likmes paliek augstas. Reportei, kas atsūtīta pirms 27. jūlija, atlīdzību joprojām aprēķina pēc vecās sistēmas.
Jaunās publiskās likmes
Publiskajā programmā summas tagad ir fiksētas katram bīstamības līmenim:
- Zems: 250 dolāru, agrāk no 617.
- Vidējs: 2 000 dolāru, agrāk no 4 000 līdz 10 000.
- Augsts: 5 000 dolāru, agrāk no 10 000 līdz 20 000.
- Kritisks: 10 000 dolāru, agrāk no 20 000 līdz vairāk nekā 30 000.
Kritiskajiem, augstajiem un vidējiem atradumiem tas ir aptuveni uz pusi mazāk nekā iepriekšējais minimums. The Hacker News aprēķinājis, ka zemas bīstamības ziņojumiem kritums sasniedz ap 59 %. Agrāk likmes bija diapazoni ar augšējo galu vadošajiem atradumiem. Tagad publiskais pētnieks vienmēr saņem apakšējo skaitli.
Slēgtais VIP līmenis
Otrs jaunums ir tikai pēc ielūguma pieejams VIP līmenis. Tur likmes paliek tuvu vecajām: zems atradums dod 1 000 dolāru, vidējs 7 500, augsts 20 000 un kritisks 30 000 vai vairāk.
Uz VIP līmeni pētnieks tiek pēc iepriekšēja darba. Vajag vismaz vienu kritisku, divus augstus, četrus vidējus vai septiņus zemus derīgus ziņojumus. Dalība ir pastāvīga un pēc ielūguma. Tā vietā, lai maksātu visiem vienādi, GitHub augstākās summas rezervē nelielai atzītu pētnieku grupai, kurai sola arī ātrākas atbildes un tiešāku saziņu ar drošības komandu.
Starpība starp abiem līmeņiem ir liela. Par kritisku atradumu VIP pētnieks saņem vismaz trīs reizes vairāk nekā publiskais dalībnieks, proti, 30 000 pret 10 000 dolāriem. Augstas bīstamības ziņojumam attiecība ir 20 000 pret 5 000, tātad četrkārtīga. GitHub tādējādi maksā par uzticamu vēsturi, ne par vienu veiksmīgu atradumu.
Praktiski tas nozīmē, ka pētnieks vispirms strādā publiskajā programmā par mazākām summām un ar labiem atradumiem nopelna ielūgumu. Pietiek pat ar vienu ziņojumu, ja tas ir kritisks. Pēc tam pētnieks paliek VIP līmenī pastāvīgi. Kas VIP slieksni nesasniedz, tam publiskās likmes ir maksimums, ko GitHub programma piedāvā.
Kāpēc GitHub to dara
Iemesls ir augoša triāžas rinda un zemas kvalitātes ziņojumu apjoms, ieskaitot AI ģenerētus iesniegumus. GitHub raksta, ka grib novērtēt attiecību un atradumu kvalitāti, nevis ziņojumu skaitu. Kasela to formulē īsi:
Vairāk nenopelnīsi, sūtot vairāk. Vairāk nopelnīsi, sūtot labāk.
Kļūdu atlīdzību programmas visā nozarē saņem arvien vairāk automātiski sagatavotu ziņojumu, kuros aprakstītā ievainojamība neeksistē vai ir izdomāta. Ģeneratīvie valodas modeļi dažās minūtēs uzraksta pārliecinošu, taču nepatiesu ievainojamības aprakstu ar koda paraugiem. Triāžas komandai katrs tāds iesniegums jāizlasa un jānoraida. Tas patērē to pašu laiku, ko reāls atradums, tikai bez rezultāta.
Līdzīgu spiedienu jūlijā aprakstīja curl komanda, kas uz mēnesi pilnībā pārtrauca pieņemt drošības ziņojumus AI radītā trokšņa dēļ. The Register norāda, ka GitHub izvēlas citu ceļu. Uzņēmums programmu neaptur, bet maina tās ekonomiku tā, lai masveida iesniegumi vairs neatmaksātos.
Ko tas maina pētniekiem
Jaunie dalībnieki publiskajā programmā drīkst iesniegt līdz četriem pirmajiem ziņojumiem, pirms sāk darboties signāla slieksnis, kas mēra derīgo atradumu īpatsvaru. Pētnieks, kura ziņojumi bieži izrādās nederīgi, zaudē tiesības iesniegt jaunus, kamēr rādītājs neatjaunojas. Pirmie četri iesniegumi ir izņēmums, lai jaunpienācējs paspētu saprast programmas prasības.
Vēl viena maiņa ir summu fiksēšana. Agrāk publiskā atlīdzība bija diapazons. Galīgo skaitli noteica triāžas vērtējums par atraduma ietekmi. Tagad katram līmenim ir viena summa, tāpēc pētnieks jau pirms iesniegšanas zina, cik atradums vērts. Tas atņem pārrunu telpu, taču padara izmaksu paredzamu.
Praktiskā ietekme ir vienkārša. Pētniekam, kurš gadā atrod pāris nopietnas GitHub kļūdas, ienākumi no publiskās programmas samazināsies uz pusi, ja vien viņš netiek VIP līmenī. GitHub sola, ka pārējais paliek nemainīgs: ātri maksājumi, skaidra saziņa un attieksme pret pētniekiem kā pret partneriem. Publiskā programma tā kļūst par ieejas punktu, no kura labākie pētnieki virzās uz VIP līmeni, kur ir nauda. Vissmagāk skarti ir vidusposma pētnieki, kuri regulāri atrod augsta līmeņa kļūdas, taču vēl nesasniedz VIP slieksni.
Iesniegumi, kas GitHub sasniedz līdz 26. jūlijam ieskaitot, tiek apmaksāti pēc vecajām likmēm.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.