GitHub 資安團隊的 Shilpa Kumari 在官方部落格專訪了頂尖漏洞賞金研究員 @vaib25vicky，請他分享多年來找漏洞的實際做法。這篇文章屬於 GitHub 漏洞賞金計畫的系列報導，目的是讓更多研究員與開發者理解資深高手挑選目標、投入時間的邏輯，而不只是公布獎金規則。
@vaib25vicky 的做法是先挑選看起來複雜、難以理解的功能當目標，接著實際把功能整個用一遍、搞懂背後的運作邏輯，再去想有哪些地方可能被濫用。他特別專注在授權（authorization）與存取控制相關的研究，因為他觀察到多數高影響力的漏洞，根源常常只是薄弱的授權檢查或被忽略的功能角落，而不是複雜的技術攻擊。
文章也提到 GitHub 近期重整了漏洞賞金計畫，改以「提交品質優於數量」為原則，並設立 VIP 等級，條件是至少解決過 1 個嚴重級、2 個高級、4 個中級或 7 個低級的發現，VIP 研究員可取得最高 3 萬美元起的獎金、更快的審查速度，以及優先測試新功能的機會。@vaib25vicky 也坦言會用 AI 工具加快研究效率，但強調 AI 給的結果一定要自己驗證，不能直接拿去送交。
對正在學程式或資安的孩子來說，這篇文章的重點不是炫技，而是耐心與基本功：先搞懂一個系統到底在做什麼，再去想哪裡會壞，比急著套用現成攻擊手法更重要。家長也可以從中看到，資安研究其實跟其他工程工作一樣，需要長期累積觀察力與邏輯思考，而不是一夜成名的捷徑。
資安漏洞賞金AI