GitHub ha anunciado una reestructuración radical de su programa de bug bounty, la iniciativa mediante la cual recompensa a investigadores externos que encuentran vulnerabilidades en su plataforma. El anuncio, realizado el 22 de julio de 2026, establece que los cambios entrarán en vigor el próximo 27 de julio. La medida central consiste en una reducción de al menos el 50% en los pagos públicos para todos los niveles de severidad, acompañada de la creación de un programa VIP exclusivo y bajo invitación.
Esta decisión responde a una problemática creciente en el sector de la ciberseguridad: la saturación de los equipos de seguridad debido al aumento de reportes de baja calidad. Según la compañía, el auge de las herramientas de automatización y la inteligencia artificial generativa ha facilitado que actores poco serios o malintencionados envíen volúmenes masivos de reportes irrelevantes. Cada uno de estos hallazgos requiere tiempo de validación, triage y respuesta, lo que ha generado un costo operativo significativo para GitHub.
Para mitigar este ruido, la empresa ha segmentado su estrategia en dos vías diferenciadas. El Programa Público, que mantiene un acceso abierto, sustituye los antiguos rangos flexibles de pago por montos fijos basados en la severidad. Además, se introduce un requisito indispensable para participar: contar con un "signal" de HackerOne, el filtro diseñado específicamente para reducir los reportes generados por IA y aquellos de baja calidad. Es importante notar que GitHub aplicará un proceso de "grandfathering" para el backlog, manteniendo las reglas anteriores para los reportes enviados antes del 27 de julio.
En el otro extremo se encuentra el Programa VIP, el núcleo de la nueva estrategia. Este espacio permanente y privado está destinado a investigadores que demuestren un trabajo consistente y de alto impacto. Para acceder a este nivel, el investigador debe cumplir al menos uno de los siguientes umbrales en los últimos 12 meses: haber reportado tres vulnerabilidades críticas, cinco vulnerabilidades altas o diez vulnerabilidades de severidad media o alta.
Los beneficios para los miembros VIP son sustancialmente mayores. En términos económicos, las recompensas se elevan considerablemente, alcanzando los 30.000 dólares o más para hallazgos críticos. La tabla de pagos VIP se distribuye así: vulnerabilidades críticas entre 10.000 y 30.000 dólares o más; altas entre 3.000 y 10.000 dólares; medias entre 1.000 y 3.000 dólares; y bajas entre 200 y 1.000 dólares. Además del incentivo monetario, los investigadores VIP gozarán de acceso directo al equipo de seguridad de GitHub y acceso a versiones beta de productos.
Este movimiento de GitHub no es un hecho aislado, sino que refleja una tendencia consolidada en la industria tecnológica. Empresas como Cloudflare ya han implementado modelos similares con programas VIP exclusivos para expertos en productos nicho, como Cloudflare Workers, ofreciendo acceso temprano a lanzamientos y recompensas más altas. Asimismo, gigantes como Google y Microsoft operan niveles diferenciados en sus programas de recompensas, priorizando la profundidad técnica sobre el volumen de reportes.
Para los fundadores de startups y responsables de seguridad, la movida de GitHub ofrece lecciones estratégicas sobre la gestión de vulnerabilidades en la era de la automatización. La tendencia se desplaza desde la búsqueda de "más reportes" hacia la obtención de "mejores reportes". Implementar pagos fijos por severidad permite una planificación presupuestaria más predecible, mientras que la adopción de filtros de calidad reduce el costo operativo del triage, que suele ser el mayor dolor de cabeza en programas pequeños.
Asimismo, la creación de una capa VIP permite retener el talento especializado, creando una relación de confianza con investigadores que entienden el producto en profundidad. Sin embargo, GitHub advierte implícitamente que este modelo premium requiere una madurez operativa alta; de nada sirve ofrecer recompensas elevadas si la empresa no posee procesos sólidos de validación y remediación rápida.
En conclusión, la reestructuración de GitHub marca un punto de inflexión en el ecosistema de seguridad informática. Ante la presión de la IA aplicada al descubrimiento de fallos, las empresas líderes están optando por profesionalizar la relación con los investigadores, concentrando sus recursos en una élite técnica y estableciendo barreras de entrada más estrictas para garantizar la eficiencia de sus equipos internos.
