GitHub 漏洞赏金研究员 @vaib25vicky 如何挑选要调查的功能

GitHub 博客· Shilpa Kumari·2026-10-09 01:02· 59 分钟前AI 评分31

一位漏洞赏金研究员如何选择要调查的功能

AI 导读

GitHub 在网络安全意识月活动中专访了漏洞赏金项目 VIP 研究员 @vaib25vicky，其专注授权与访问控制方向。GitHub 今年重构了赏金机制，改为按质量而非数量奖励，并设立邀请制 VIP 计划，严重漏洞最高可获 3 万美元以上赏金。该研究员表示自己按功能而非漏洞类型开展研究，并强调 AI 只能充当助手，所有发现必须自行验证后才能提交。

正文

在网络安全意识月启动之际，GitHub 漏洞赏金团队很高兴重点介绍参与 GitHub 安全漏洞赏金计划的顶尖安全研究员之一：@vaib25vicky！

安全研究社区让 GitHub 对每个人都更安全——这就是 GitHub 漏洞赏金计划背后的简单理念。十多年来，来自世界各地的研究人员帮助我们在漏洞被利用之前识别并修复它们，从而帮助保护支撑数百万开发项目的代码。随着 GitHub Copilot 和 Copilot 编码代理等 AI 驱动的体验重塑软件的构建方式，与技艺精湛的研究人员在传统和新兴攻击面上展开合作比以往任何时候都更加重要。

今年标志着我们计划的新篇章。我们围绕激励核心的转变重构了赏金表：提交更多并不会让你赚得更多——提交更优质的内容才会。作为这一变化的一部分，我们为持续交付高质量、高影响力工作的研究人员正式设立了一个永久性的、仅限邀请的 VIP 计划。

VIP 研究员可获得：

• 显著更高的奖金——严重漏洞最高可达 30,000 美元或更多
• 其提交获得更快的响应时间
• 在公开推出之前提前预览测试版产品和功能

通往 VIP 计划的路径基于已证明的、持续稳定的质量。拥有一项严重、两项高危、四项中危或七项低危已解决发现的研究人员可能会获得邀请。访问我们的公开赏金网站了解有关资格标准的更多信息。

为庆祝今年十月的网络安全意识月，我们将重点介绍我们 VIP 计划中贡献最多的研究员之一，并探讨其研究方法、技术和研究 GitHub 的经验。@vaib25vicky 专注于授权和访问控制研究，并发现了我们生态系统中一些最微妙且影响最大的问题。他们对复杂攻击面的深入、持续关注，恰恰体现了我们重构后的计划旨在奖励的那种深思熟虑的研究。

你是如何开始从事安全和漏洞赏金工作的，又是什么让你不断回到 GitHub 的计划？

我从小就对计算机感兴趣。大学时我做了很多编码，构建不同的项目并尝试各种东西——就是些极客玩意儿。在做这些的过程中，我开始深入理解系统，并找到了让它们按我想要的方式运行的方法。那基本上就是黑客行为。后来我偶然发现了漏洞赏金并开始挖掘，发现它真的很有趣。再后来我发现了 GitHub 的漏洞赏金计划。我在自己的工作中大量使用 GitHub，所以从那里开始感觉很自然。随着时间推移，我比其他计划更专注于 GitHub，因为奖励高、有挑战性、团队很棒，而且我有很好的体验。

你最喜欢研究哪类漏洞，为什么？

我其实并不按漏洞类别去狩猎。当我发现一个功能时，我会使用它、理解它的工作原理，并思考它可能被滥用来引发安全问题的方式。所以我测试的漏洞类别取决于功能本身。

你如何保持技能敏锐并紧跟新的漏洞趋势？

我关注一些个人研究者和公司博客。在 X 上，我关注那些分享真实发现和撰写文章的研究者。对于博客，我阅读公司研究文章和漏洞赏金报告。我也会时不时查看 Hacker News 和一些安全相关的 subreddit。我最喜欢的一些博客是 Google Project Zero、GitHub Security Lab、PortSwigger 和 Hacker News。

请向我们介绍你的总体方法。你如何选择目标领域，以及如何从“有趣的功能”到确认的发现？

我选择一个看起来复杂且难以理解的目标领域。凭借我的经验，我通常能判断一个功能是否值得我花时间。我会花一些时间研究它，看看是否有任何有趣的东西出现。如果没有，我就继续下一个。一旦我发现值得深入挖掘的东西，我就会不断使用和探索该功能，直到出现异常情况。根据功能的不同，我会在此过程中测试不同类型的漏洞。

你在研究中使用 AI 吗？它在哪些方面真正有帮助，在哪些方面有所不足？

是的，我使用 AI。它节省了我的时间并提高了我的生产力。它就像一个很棒的助手。它的不足之处在于你仍然需要引导它。在我看来，AI 就像一辆非常快的车，但它仍然需要一位好司机。

关于在漏洞赏金中负责任地使用 AI，你有什么建议？

我要说的主要一点是，始终验证 AI 给你的东西，永远不要提交你自己没有确认过的发现。

随着行业推出更多 AI 驱动的功能，测试它们是否需要与传统 Web 漏洞不同的思维方式？

你确实需要稍微不同的思考方式。但大多数漏洞，包括高影响的漏洞，仍然是授权问题、薄弱的防护栏或被忽视的能力。我认为这些可以用与传统 Web 漏洞相同的思维方式来发现。

你希望自己在刚开始时就知道的一件事是什么？

进步需要时间。早期我希望自己知道，在一个目标上花很长时间才找到东西是正常的。耐心是工作的一部分。

不进行黑客活动时，你喜欢做什么？

我喜欢玩游戏和旅行。为了放松，我就去好好旅行一趟。

你有什么想与我们的读者分享的社交媒体资料吗？

我主要在 X 上，账号是 @vaib25vicky。

感谢 @vaib25vicky 参与 GitHub 的漏洞赏金研究者聚焦！每一次向我们漏洞赏金计划提交的成果，都是让 GitHub、我们的产品和我们的客户更安全的机会，我们继续欢迎并感谢与安全研究社区的合作。所以，如果这激励你去寻找漏洞，欢迎通过 HackerOne 报告你的发现。

文章 一位漏洞赏金研究者如何选择他们调查的功能 首次出现在 The GitHub Blog 上。

来源：GitHub Blog · github.blog