GitHub anunció una reestructuración de su programa de recompensas por vulnerabilidades con el objetivo de premiar la calidad de los hallazgos frente al volumen de reportes. Los cambios, que entraron en vigor para los informes enviados a partir del 27 de julio de 2026, incluyen la creación de un programa VIP permanente, privado y por invitación para investigadores cualificados, y una nueva tabla de pagos estáticos para el programa público.
El programa VIP establece pagos de 1.000 dólares para hallazgos de severidad baja, 7.500 para media, 20.000 para alta y más de 30.000 para crítica. Para acceder, los investigadores deben acreditar al menos un hallazgo crítico, dos altos, cuatro medios o siete bajos. La nueva tabla pública fija recompensas de 250, 2.000, 5.000 y 10.000 dólares según severidad, sustituyendo los rangos variables anteriores por cifras fijas.
GitHub también introdujo un requisito de reputación en HackerOne para filtrar reportes de baja calidad o generados con IA: quienes no alcancen el umbral dispondrán de un máximo de cuatro envíos iniciales. La compañía enmarcó los cambios como parte de una evolución más amplia que incluye tiempos de respuesta más rápidos, criterios de severidad más claros y mayor presencia en conferencias como DEF CON.