Vercel 漏洞赏金计划现已公开发布
2022 年，我们通过 HackerOne 启动了私有漏洞赏金计划。过去几年里，我们借助 HackerOne 的 VIP 项目不断优化流程、目标范围，并吸纳了数千名顶尖安全研究人员，全面强化平台安全。
我们将这些经验转化为多个公开赏金计划：
价值 100 万美元的 React2Shell 黑客挑战赛
价值 100 万美元的 Vercel Sandbox 黑客挑战赛
今天，我们将私有和开源赏金计划整合为一个统一的公开 Vercel 漏洞赏金计划。
Copy link to heading为何此时
AI 从根本上改变了漏洞赏金计划的性质，导致上报数量（无论有效与否）呈指数级增长。部分公司因此转向私有计划。
在 Vercel，我们发现公开上报仍能发现真实且有价值的漏洞。AI 让更多类型的研究人员能够发现安全弱点，我们坚信应根据上报本身的 merit（价值/质量）进行评估，因此将整个计划公开是合乎逻辑的选择。
为迎接公开上线，我们的安全工程团队简化了流程并开发了自动化工具，以过滤噪音、加速修复。从上报分诊到补丁发布与验证，每个环节都经过了优化。
我们的团队和流程已在之前的私有项目及多个大型公开计划中经过实战检验。如今，我们已做好准备，向公众开放这套全面的安全计划，让顶尖研究人员负责任地探索平台的各个角落。
Copy link to heading覆盖范围
当前，Vercel 平台的所有产品及开源项目均已纳入该统一公开计划。完整覆盖范围详情见 HackerOne 上的 范围页面。
整合多个计划对我们的流程来说是合理的，同时我们也收到研究社区的反馈：之前存在多个计划、报告提交入口分散，导致漏洞披露流程比较混乱。统一为一个计划后，无论是我们的平台还是开源项目，报告提交都更简单了。
针对开源项目的新发现，请提交到 Vercel 主计划中；不过，如果你之前已经在旧的 OSS 计划中提交过，无需重复提交，我们会照常审核所有通过该计划提交的报告。
复制标题链接如何参与
如果你是安全研究人员，请访问我们的 HackerOne 计划页面，了解详情、赏金和指南。
提交漏洞报告时，请通过 HackerOne 提交你的发现，并附上清晰的复现步骤。我们的安全团队会审核每一份提交，并与研究人员按照披露流程协作。我们承诺快速响应、公开透明地沟通。
感谢那些花时间深入挖掘我们代码并负责任地报告问题的研究人员。同时也要感谢所有在私有计划中持续工作的研究人员——是你们为这个公开计划打下了基础，私有计划的规则不会有任何变化，期待你们未来的提交。
了解更多关于 Vercel 安全的信息。
复制标题链接加入我们的安全团队
如果你对这类工作感兴趣，我们正在招聘。申请加入 Vercel 安全团队。