<p>微软正在全面改革其漏洞赏金计划，以奖励发现其所有产品和服务中漏洞的安全研究人员，即使这些产品和服务没有建立赏金计划。</p>
<p>微软安全响应中心（MSRC）工程副总裁汤姆·加拉赫（Tom Gallagher）在昨天的黑帽欧洲大会上表示，该公司将采用所谓的 “默认在范围内” 方法。</p>
<p>在新模型下，MSRC 将向报告对微软在线服务产生明显影响的关键漏洞的研究人员支付奖励。</p>
<p>加拉赫表示：“无论代码是由微软拥有和管理，还是由第三方拥有，或是开源的，我们都会尽一切努力来修复问题。我们的目标是激励对最高风险领域的研究，特别是那些威胁行为者最有可能利用的领域。”</p>
<p>他告诉《注册》杂志，同一类漏洞及其严重性在第三方代码库中所获得的货币奖励将与在微软产品中发现的相同。</p>
<p>“在没有赏金计划的地方，我们将认可并奖励安全研究社区的多样化见解，无论他们的专业知识带他们去哪里。这包括微软拥有和管理的领域和企业基础设施。”</p>
<p>这一举措代表了 MSRC 在漏洞赏金方面的转变，以前的赏金计划在什么类型的漏洞值得奖励以及哪些产品或服务符合条件方面是有规定的。</p>
<p>加拉赫表示，这种 “默认在范围内” 的方法意味着即使是新产品和服务也会受到赏金的覆盖，包括那些在推出时没有专门计划的产品和服务。</p>
<p>“转向 ‘默认在范围内’ 的赏金模型旨在加强我们的安全态势，以应对不断演变的威胁环境，特别是在云和人工智能领域。”</p>
<ul>
<li>英国终于承诺审查 35 年前的计算机滥用法</li>
<li>研究人员声称发现 “有史以来最大泄漏”，揭露 WhatsApp 枚举漏洞</li>
<li>微软 365 Copilot 中的 Sneaky Mermaid 攻击窃取数据</li>
<li>谷歌宣布 AI 漏洞狩猎季节开启，设定最高奖励为 3 万美元</li>
</ul>
<p>微软表示，去年通过其漏洞赏金计划和零日竞赛向研究人员支付了超过 1700 万美元的奖励，并预计将增加支出。</p>
<p>微软在 2013 年迟迟推出其漏洞赏金计划，此前多年来拒绝了启动该计划的压力——首席赏金游说者凯蒂·穆索里斯（Katie Moussouris）将这一过程形容为 “煮青蛙”。</p>
<p>虽然许多研究人员自那时以来从微软的漏洞赏金计划中获得了经济利益，但那些不那么幸运的人的常见抱怨包括响应时间缓慢和可疑的分类结论。</p>
<p>一些感到沮丧的专家也不遗余力地向 MSRC 表达他们对提交过程的看法。®</p>

2 倍做多 MSFT ETF - GraniteShares

MSFO

微软每日 1 倍做空 ETF - Direxion

微软每日 2 倍做多 ETF - Direxion

MSFX

MSFY

<p>微软正在重塑其漏洞赏金计划，以奖励研究人员发现所有产品中的漏洞，即使没有既定的赏金方案。采用 “默认在范围内” 的方法将激励对高风险领域的研究，为影响微软服务的关键漏洞提供金钱奖励。这一转变旨在增强安全性，以应对不断变化的威胁，涵盖包括云和人工智能在内的新产品和服务。微软去年支付了超过 1700 万美元的奖励，并计划增加支出</p>

<p>Microsoft is overhauling its bug bounty program to reward exploit hunters for finding vulnerabilities across all its products and services, even those without established bounty schemes.</p>
<div class="lb-trans"><p>微软正在全面改革其漏洞赏金计划，以奖励发现其所有产品和服务中漏洞的安全研究人员，即使这些产品和服务没有建立赏金计划。</p>
</div><p>Tom Gallagher, VP of engineering at Microsoft Security Response Center (MSRC), told Black Hat Europe delegates yesterday that the company will adopt what it calls an &#34;in scope by default&#34; approach.</p>
<div class="lb-trans"><p>微软安全响应中心（MSRC）工程副总裁汤姆·加拉赫（Tom Gallagher）在昨天的黑帽欧洲大会上表示，该公司将采用所谓的 “默认在范围内” 方法。</p>
</div><p>Under the new model, MSRC will pay researchers who report critical vulnerabilities that have a demonstrable impact on Microsoft's online services.</p>
<div class="lb-trans"><p>在新模型下，MSRC 将向报告对微软在线服务产生明显影响的关键漏洞的研究人员支付奖励。</p>
</div><p>&#34;Regardless of whether the code is owned and managed by Microsoft, a third party, or is open source, we will do whatever it takes to remediate the issue,&#34; Gallagher said. &#34;Our goal is to incentivize research on the highest risk areas, especially the areas that threat actors are most likely to exploit.&#34;</p>
<div class="lb-trans"><p>加拉赫表示：“无论代码是由微软拥有和管理，还是由第三方拥有，或是开源的，我们都会尽一切努力来修复问题。我们的目标是激励对最高风险领域的研究，特别是那些威胁行为者最有可能利用的领域。”</p>
</div><p>The same class of vulnerability, and its severity, will attract the same monetary award in a third-party codebase as it would if it were found in one of Microsoft's products, he told <em>The Register</em>.</p>
<div class="lb-trans"><p>他告诉《注册》杂志，同一类漏洞及其严重性在第三方代码库中所获得的货币奖励将与在微软产品中发现的相同。</p>
</div><p>&#34;Where no bounty programs exist, we will recognize and award the diverse insights of the security research community wherever their expertise takes them. This includes domains and corporate infrastructure that are owned and managed by Microsoft.&#34;</p>
<div class="lb-trans"><p>“在没有赏金计划的地方，我们将认可并奖励安全研究社区的多样化见解，无论他们的专业知识带他们去哪里。这包括微软拥有和管理的领域和企业基础设施。”</p>
</div><p>The move represents a shift in MSRC's bug bounties, which in the past have been prescriptive in terms of what type of bug warrants an award, and what products or services are eligible.</p>
<div class="lb-trans"><p>这一举措代表了 MSRC 在漏洞赏金方面的转变，以前的赏金计划在什么类型的漏洞值得奖励以及哪些产品或服务符合条件方面是有规定的。</p>
</div><p>Gallagher said this &#34;in scope by default&#34; approach means that even new products and services are covered by buy bounties, including those without a dedicated program assigned to them at launch.</p>
<div class="lb-trans"><p>加拉赫表示，这种 “默认在范围内” 的方法意味着即使是新产品和服务也会受到赏金的覆盖，包括那些在推出时没有专门计划的产品和服务。</p>
</div><p>&#34;The shift to an 'in scope by default' bounty model aims to strengthen our security posture amid an evolving threat landscape, especially across cloud and AI.&#34;</p>
<div class="lb-trans"><p>“转向 ‘默认在范围内’ 的赏金模型旨在加强我们的安全态势，以应对不断演变的威胁环境，特别是在云和人工智能领域。”</p>
</div><ul>
<li>UK finally vows to look at 35-year-old Computer Misuse Act</li>
<li>Researchers claim 'largest leak ever' after uncovering WhatsApp enumeration flaw</li>
<li>Sneaky Mermaid attack in Microsoft 365 Copilot steals data</li>
<li>Google declares AI bug hunting season open, sets a $30K max reward</li>
</ul>
<div class="lb-trans"><ul>
<li>英国终于承诺审查 35 年前的计算机滥用法</li>
<li>研究人员声称发现 “有史以来最大泄漏”，揭露 WhatsApp 枚举漏洞</li>
<li>微软 365 Copilot 中的 Sneaky Mermaid 攻击窃取数据</li>
<li>谷歌宣布 AI 漏洞狩猎季节开启，设定最高奖励为 3 万美元</li>
</ul>
</div><p>Microsoft says it paid more than $17 million in awards to researchers last year through its bug bounty program and Zero Day Quest competition, and expects to increase spending.</p>
<div class="lb-trans"><p>微软表示，去年通过其漏洞赏金计划和零日竞赛向研究人员支付了超过 1700 万美元的奖励，并预计将增加支出。</p>
</div><p>Belatedly, Microsoft launched its bug bounty program in 2013 after rejecting pressure to start one for years – a process head bounty lobbyist Katie Moussouris described as being like &#34;boiling a frog.&#34;</p>
<div class="lb-trans"><p>微软在 2013 年迟迟推出其漏洞赏金计划，此前多年来拒绝了启动该计划的压力——首席赏金游说者凯蒂·穆索里斯（Katie Moussouris）将这一过程形容为 “煮青蛙”。</p>
</div><p>While many researchers have financially benefited from Microsoft's bug bounty program since then, common gripes reported by those who aren't so lucky include slow response times and questionable triage conclusions.</p>
<div class="lb-trans"><p>虽然许多研究人员自那时以来从微软的漏洞赏金计划中获得了经济利益，但那些不那么幸运的人的常见抱怨包括响应时间缓慢和可疑的分类结论。</p>
</div><p>Some frustrated experts have also gone to great lengths to make their feelings about the submission process known to MSRC. ®</p>
<div class="lb-trans"><p>一些感到沮丧的专家也不遗余力地向 MSRC 表达他们对提交过程的看法。®</p>
</div>

微软承诺将提供更多的漏洞奖励，无论是否存在赏金计划