The GitHub Blog ·

冷却期的理由：为什么Dependabot现在在发布版本更新前会等待

💡 原文英文，约200词，阅读约需1分钟。

📝

内容提要

GitHub正在重组其漏洞赏金计划，以提升研究人员的合作体验。同时，公司解决了内部挑战：为超过14,000个仓库中不到半数缺乏明确归属的问题，在45天内为所有活跃仓库指定了有效所有者，并归档其余部分。此外，通过秘密扫描技术，GitHub在九个月内将20,000多个警报降至收件箱零，建立了修复工作流，有效区分信号与噪音。

🔎

延伸解读

仓库归属：从混乱到有序

GitHub在45天内为超过14,000个仓库中所有活跃仓库指定了有效所有者，并归档了其余部分。这一举措表明，明确的归属是后续安全工作的基础。对于大型组织而言，仓库所有权不清晰会阻碍漏洞修复和合规审计。通过快速清理和归档，GitHub不仅提升了安全性，也为其他企业提供了可借鉴的治理模式。

秘密扫描：从警报洪流到收件箱零

GitHub通过秘密扫描技术，在九个月内将20,000多个警报降至收件箱零。关键在于区分信号与噪音，并建立修复工作流。这提醒我们，安全工具的有效性不仅在于检测能力，更在于后续的响应流程。企业应重视警报的优先级排序和自动化修复，避免安全团队被大量误报淹没。

漏洞赏金计划的重组方向

GitHub正在重组其漏洞赏金计划，以提升研究人员的合作体验。这表明平台方越来越重视与安全研究社区的互动。对于研究人员而言，更顺畅的沟通和更明确的流程可能意味着更高的效率和更好的回报。企业也应关注此类计划的更新，以便及时调整自己的安全策略。

❓

Q&A

GitHub 的漏洞赏金计划有哪些重大变化？

GitHub 正在重组其漏洞赏金计划，以提升研究人员与 GitHub 团队合作的体验。

GitHub 如何解决仓库所有权不明确的问题？

GitHub 在 45 天内为所有活跃仓库指定了有效所有者，并归档了其余仓库，从而解决了超过 14,000 个仓库中不到半数缺乏明确归属的问题。

GitHub 如何利用秘密扫描技术实现收件箱零？

GitHub 通过秘密扫描技术，在九个月内将 20,000 多个警报降至收件箱零，建立了修复工作流，有效区分信号与噪音。

GitHub 在仓库所有权管理上采取了哪些具体措施？

GitHub 为所有活跃仓库指定了有效所有者，并归档了其余仓库，确保每个仓库都有明确的负责人。

GitHub 如何区分秘密扫描警报中的信号与噪音？

GitHub 通过建立修复工作流，有效区分了信号与噪音，从而将警报数量降至收件箱零。

GitHub 在漏洞赏金计划中如何提升研究人员的体验？

GitHub 正在重组其漏洞赏金计划，以给研究人员提供更好的与 GitHub 团队合作的体验。

🏷️