ความปลอดภัยคืองานที่ต้องทำร่วมกัน และเราเชื่อว่าชุมชนนักวิจัยด้านความปลอดภัยมีบทบาทสำคัญในการรักษาแพลตฟอร์มและผู้ใช้ของเราให้ปลอดภัย วันนี้เรายินดีที่จะประกาศการปรับปรุงครั้งใหญ่ของโปรแกรม bug bounty ของเรา ซึ่งรวมถึงการเพิ่มรางวัลอย่างมาก การขยายขอบเขต และการปรับปรุงกระบวนการที่ให้ความสำคัญกับประสบการณ์ของนักวิจัย

ทำไม Bug Bounties ถึงสำคัญ

ในปี 2025 ภูมิทัศน์ด้านความปลอดภัยไม่เคยซับซ้อนมากไปกว่านี้ ตามข้อมูลอุตสาหกรรมล่าสุด บริษัทที่จ่ายรางวัล bug bounty นับล้านดอลลาร์ได้ระบุและแก้ไขช่องโหว่ที่อาจเกิดขึ้นหลายพันรายการก่อนที่จะถูกใช้ประโยชน์ โปรแกรมที่ประสบความสำเร็จมากที่สุดเข้าใจว่านักวิจัยด้านความปลอดภัยคือพันธมิตร ไม่ใช่ศัตรู ในภารกิจการสร้างซอฟต์แวร์ที่ปลอดภัย

โปรแกรม bug bounty ของเราเปิดให้บริการตั้งแต่ปี 2023 แต่เราได้เรียนรู้ว่าการมีโปรแกรมอย่างเดียวไม่เพียงพอ เราต้องสร้างสภาพแวดล้อมที่นักวิจัยด้านความปลอดภัยที่ดีที่สุดในโลกต้องการมุ่งความสนใจไปที่แพลตฟอร์มของเรา นั่นต้องการรางวัลที่แข่งขันได้ การสื่อสารที่ชัดเจน และความมุ่งมั่นในการปฏิบัติต่อนักวิจัยด้วยความเคารพที่พวกเขาสมควรได้รับ

การเพิ่มรางวัลอย่างมาก

เรากำลังเพิ่มการจ่ายเงินสูงสุดของเราเป็นสองเท่าเพื่อสะท้อนถึงคุณค่าที่แท้จริงที่นักวิจัยด้านความปลอดภัยมอบให้ โครงสร้างรางวัลใหม่ของเรารับรู้ทั้งความรุนแรงของช่องโหว่และคุณภาพของการส่ง:

ระดับรางวัลใหม่

ช่องโหว่วิกฤต: สูงถึง $100,000

• การรันโค้ดจากระยะไกลบนโครงสร้างพื้นฐานหลัก
• การข้ามการตรวจสอบสิทธิ์ที่ส่งผลต่อผู้ใช้ทั้งหมด
• การรั่วไหลของข้อมูลที่เปิดเผยข้อมูลผู้ใช้ที่ละเอียดอ่อน
• ช่องโหว่การยึดบัญชีทั้งหมด

ความรุนแรงสูง: $25,000 - $50,000

• SQL injection ในระบบโปรดักชัน
• Cross-site scripting (XSS) ที่มีผลกระทบอย่างมีนัยสำคัญ
• ช่องโหว่การยกระดับสิทธิ์
• Server-side request forgery (SSRF)

ความรุนแรงปานกลาง: $5,000 - $15,000

• การเปิดเผยข้อมูลที่ไม่ละเอียดอ่อน
• Cross-site request forgery (CSRF)
• การกำหนดค่าความปลอดภัยผิดพลาดที่แสดงผลกระทบ
• ช่องโหว่ denial of service

ความรุนแรงต่ำ: $500 - $2,500

• การรั่วไหลของข้อมูลเล็กน้อย
• การละเมิดแนวทางปฏิบัติที่ดีที่สุดที่มีผลกระทบด้านความปลอดภัย
• ช่องโหว่ผลกระทบต่ำที่ต้องการการโต้ตอบของผู้ใช้อย่างมาก

ตัวคูณโบนัส

ตามแนวทางปฏิบัติที่ดีที่สุดของอุตสาหกรรม เรากำลังแนะนำตัวคูณโบนัสสำหรับการส่งที่โดดเด่น:

• โบนัสคุณภาพ (สูงถึง 50%): รายงานที่ชัดเจนและละเอียดพร้อมโค้ด proof-of-concept และคำแนะนำการแก้ไขที่ครอบคลุม
• โบนัสการค้นพบครั้งแรก (25%): เป็นคนแรกที่รายงานคลาสช่องโหว่เฉพาะ
• โบนัสห่วงโซ่การใช้ประโยชน์ (สูงถึง 100%): แสดงห่วงโซ่การใช้ประโยชน์เต็มรูปแบบที่บรรลุผลกระทบในโลกจริง
• โบนัสความปลอดภัย AI (50%): ช่องโหว่เฉพาะสำหรับระบบ AI ของเรา รวมถึง prompt injection และการจัดการโมเดล

ตัวคูณเหล่านี้สามารถซ้อนทับกันได้ หมายความว่าช่องโหว่วิกฤตที่รายงานด้วยรายละเอียดที่โดดเด่นอาจถึง $200,000 ในรางวัลรวม

การขยายขอบเขตอย่างมาก

เรากำลังเปิดโครงสร้างพื้นฐานของเรามากขึ้นสำหรับการวิจัยด้านความปลอดภัย โดยตระหนักว่าการครอบคลุมที่ครอบคลุมทำให้เราทุกคนปลอดภัยขึ้น

อยู่ในขอบเขตตอนนี้

โครงสร้างพื้นฐานแพลตฟอร์มหลัก

• แอปพลิเคชันเว็บและ API โปรดักชันทั้งหมด
• แอปพลิเคชันมือถือ (iOS และ Android)
• ระบบการตรวจสอบสิทธิ์และการอนุญาต
• โครงสร้างพื้นฐานฐานข้อมูลและการจัดเก็บข้อมูล
• แผงและเครื่องมือผู้ดูแลระบบภายใน

ระบบ AI และ Machine Learning

• จุดสิ้นสุดโมเดล AI และระบบการอนุมาน
• ไปป์ไลน์ข้อมูลการฝึกและการจัดเก็บ
• Prompt injection และการจัดการโมเดล
• ระบบสร้างเนื้อหาด้วย AI
• ความปลอดภัยของโมเดล machine learning

โครงสร้างพื้นฐาน Cloud

• การปรับใช้ AWS, Google Cloud และ Azure
• คลัสเตอร์ Kubernetes และความปลอดภัยของคอนเทนเนอร์
• โครงสร้างพื้นฐาน CDN และ edge computing
• ไปป์ไลน์ CI/CD และระบบการปรับใช้

การผสานรวมบุคคลที่สาม

• การนำไปใช้ OAuth
• การผสานรวม SSO และ SAML
• ระบบการจัดส่ง Webhook
• การผสานรวม API กับบริการพันธมิตร

นอกขอบเขตอย่างชัดเจน

เพื่อช่วยนักวิจัยมุ่งเน้นความพยายามอย่างมีประสิทธิภาพ เราได้กำหนดอย่างชัดเจนว่าอะไรอยู่นอกโปรแกรมของเรา:

• การโจมตี Social engineering ต่อพนักงานของเรา
• ความปลอดภัยทางกายภาพของสำนักงานของเรา
• การโจมตี Denial of service (เว้นแต่คุณสามารถแสดงให้เห็นอย่างปลอดภัย)
• สแปมหรือการจัดการเนื้อหา
• ปัญหาในบริการบุคคลที่สามที่เราไม่ควบคุม
• ช่องโหว่ที่ต้องการอุปกรณ์ที่ถูก jailbreak หรือ root

เวลาตอบสนองชั้นนำของอุตสาหกรรม

ความเร็วมีความสำคัญในความปลอดภัย เรามุ่งมั่นต่อเวลาตอบสนองชั้นนำของอุตสาหกรรมตามคำติชมที่นักวิจัยให้คุณค่ากับการตอบสนองที่รวดเร็วจากมนุษย์:

SLA การตอบสนองของเรา

• การคัดกรองเบื้องต้น: 24 ชั่วโมง - วิศวกรความปลอดภัยของมนุษย์ตรวจสอบการส่งของคุณภายในหนึ่งวันทำการ
• การตรวจสอบ: 5 วันทำการ - เรายืนยันว่าปัญหานั้นถูกต้องและอยู่ในขอบเขตหรือไม่
• การประเมินความรุนแรง: 7 วันทำการ - กำหนดการให้คะแนนความรุนแรงและจำนวนเงินรางวัลสุดท้าย
• การประมวลผลการชำระเงิน: 14 วันทำการ - จ่ายรางวัลหลังจากยืนยันว่าช่องโหว่ได้รับการแก้ไข

กรอบเวลาเหล่านี้แสดงถึงช่วงเวลาตอบสนองสูงสุดของเรา ในทางปฏิบัติ เวลาเฉลี่ยในการคัดกรองของเราน้อยกว่า 12 ชั่วโมง และเรามักจะตรวจสอบการส่งที่สำคัญภายใน 48 ชั่วโมง

การสื่อสารที่โปร่งใส

การส่งทุกรายการได้รับคำติชมที่เขียนโดยมนุษย์โดยละเอียด แม้ว่าเราจะพิจารณาว่าการส่งอยู่นอกขอบเขตหรือไม่ใช่ปัญหาความปลอดภัย เราก็อธิบายเหตุผลของเราและให้คำแนะนำสำหรับการวิจัยในอนาคต

เราติดตามตัวชี้วัดสำคัญสามตัวอย่างเปิดเผยบนแดชบอร์ดโปรแกรมของเรา:

• Time-to-Triage: เราให้คำติชมเบื้องต้นเร็วแค่ไหน
• Time-to-Validate: ใช้เวลานานแค่ไหนในการยืนยันช่องโหว่
• Time-to-Fix: เวลาแก้ไขเฉลี่ยของเราตามระดับความรุนแรง

การยอมรับต่อสาธารณะและ Hall of Fame

นักวิจัยด้านความปลอดภัยสมควรได้รับการยอมรับสำหรับการมีส่วนร่วมของพวกเขา เราได้สร้างหลายวิธีในการเฉลิมฉลองงานของพวกเขา:

รางวัลนักวิจัยด้านความปลอดภัยประจำปี

ทุกปี เราให้การยอมรับผู้มีส่วนร่วมที่โดดเด่นด้วยรางวัลพิเศษ:

• รางวัลนักวิจัยยอดเยี่ยม: โบนัส $10,000 สำหรับนักวิจัยที่มีการค้นพบที่มีผลกระทบมากที่สุด
• รางวัล Rising Star: $5,000 สำหรับงานที่โดดเด่นโดยนักวิจัยใหม่
• รางวัลนวัตกรรม: $5,000 สำหรับเทคนิคการค้นพบช่องโหว่ที่สร้างสรรค์
• รางวัล Community Champion: การยอมรับสำหรับการช่วยเหลือนักวิจัยคนอื่น

Hall of Fame สาธารณะ

ด้วยการอนุญาตของนักวิจัย เรารักษา hall of fame สาธารณะที่แสดงรายการ:

• ช่องโหว่ทั้งหมดที่ค้นพบ
• รายได้รวมจากโปรแกรมของเรา
• ช่องโหว่ผลกระทบสูงเฉพาะที่ค้นพบ (หลังจากการแก้ไข)
• โปรไฟล์นักวิจัยและลิงก์โซเชียลมีเดีย

นักวิจัยสามารถเลือกที่จะถูกแสดงรายการโดยไม่ระบุชื่อหรือใช้ handles หากพวกเขาต้องการ

โอกาสพูดที่การประชุม

เราสนับสนุนนักวิจัยอย่างแข็งขันในการนำเสนอการค้นพบของพวกเขาในการประชุมความปลอดภัย หากการค้นพบของคุณแสดงถึงการวิจัยใหม่ เราจะ:

• ประสานกำหนดเวลาการเปิดเผยให้สอดคล้องกับกำหนดเวลาการพูดในการประชุม
• ให้จดหมายสนับสนุนสำหรับการส่งข้อเสนอการประชุม
• ครอบคลุมค่าใช้จ่ายในการเดินทางเพื่อนำเสนอการค้นพบ (สูงถึง $2,500)

Safe Harbor และการคุ้มครองทางกฎหมาย

เราให้การคุ้มครอง safe harbor ที่ชัดเจนสำหรับการวิจัยด้านความปลอดภัยที่มีเจตนาดี:

สิ่งที่ได้รับการคุ้มครอง

ตราบใดที่คุณ:

• พยายามอย่างดีที่สุดเพื่อปฏิบัติตามนโยบายโปรแกรมของเรา
• ไม่เข้าถึง แก้ไข หรือลบข้อมูลผู้ใช้เกินกว่าที่จำเป็นในการแสดงช่องโหว่
• ไม่ตั้งใจทำร้ายผู้ใช้หรือโครงสร้างพื้นฐานของเรา
• รายงานช่องโหว่ทันทีและไม่เปิดเผยต่อสาธารณะก่อนที่เราจะมีเวลาแก้ไข

เราจะ:

• ไม่ดำเนินคดีทางกฎหมายกับคุณ
• ทำงานร่วมกับหน่วยงานบังคับใช้กฎหมายเพื่อสนับสนุนคุณหากมีคนอื่นดำเนินคดีทางกฎหมาย
• พิจารณาการกระทำของคุณเป็นการวิจัยด้านความปลอดภัยที่ได้รับอนุญาต