IT之家 Bericht vom 14. Oktober: Das Huawei SicherheitsEinsatzzentrum veröffentlichte heute eine Ankündigung über die Regeln für die Behandlung von Nachfolge-Lückeberichten im Rahmen des Huawei-Terminal-Sicherheitsbelohnungsprogramms.
Laut offiziellen Angaben wurden dieses Jahr viele Berichte über Lücken erhalten, die mit AI-Tools zur Erkundung verwendet werden. Die meisten dieser Berichte enthalten PoC (IT-Zuhause Hinweis: Konzeptuelle Verifizierung – Code, Skripte, Anfragen oder detaillierte Rekonstruktionsschritte, die beweisen, dass eine Sicherheitslücke existiert und ausgelöst werden kann),doch es gibt unvermeidlich falsche Meldungen, die durch „Halluzinationen“ von AI verursacht werden.
Um die begrenzten Überprüfungsressourcen angemessen zu verteilen und sicherzustellen, dass das Team für den Sicherheitsbewertungsprozess von Huawei Endgeräten sich auf echte und wirksame Schwachstellen konzentriert sowie eine gesunde und ordentliche Community-Ökologie erhalten bleibt, werden folgende Anforderungen gestellt:
1. Anforderungen für Lückenberichte
Für Sicherheitslücken, die durch AI-Unterstützung oder Automatisierung entdeckt wurden, muss vor der Einreichung eine manuelle Analyse und Überprüfung durchgeführt werden. Wir ermutigen White-Hat-Teammitglieder, die vollständige Überprüfung der EXP-Angriffskette anzubieten. Bitte stellen Sie in den Berichten Beweise für die tatsächlichen Sicherheitsauswirkungen der Lücken bereit, einschließlich und ohne Einschränkung:
Vollständiger dynamisch ausführbarer PoC;
Betroffene Produkte, Systemversionen und Schadensbeschreibungen (Hinweis: Die Lücken müssen Produkte betreffen, die im Anerkennungsprogramm liegen und auf die neueste HarmonyOS-Systemversion aktualisiert wurden);
Der Bericht ist klar und verständlich, und die Schritte zur Wiederherstellung sind übersichtlich.
Vollständiger Log und Screenshot der Ergebnisse / Demonstrationsvideo;
Der Angriffspfad muss aus dem Eingang des tatsächlichen Angriffsgeschehens ausgelöst werden und muss tatsächliche Sicherheitsauswirkungen zeigen.
2. Unregelmäßige Verhaltensweisen
Die weißen Mützen sollten während des gesamten Prozesses der Belohnungsprogramme stets gegenseitiges Respektieren zeigen und in einer professionellen, freundlichen Art und Ton miteinander kommunizieren. Die folgenden Handlungen sind verboten:
Dauerhaft, wiederholt und in großer Menge eingereichte Berichte, die direkt von der AI erstellt wurden, nicht menschlich nachgeprüft werden, nicht durch die neuesten verfügbaren Schnittstellen ausgelöst sind, deren Analyse auf unvollständigen Codeabschnitten beruht oder keine Belege für tatsächliche Sicherheitswirkungen enthalten.
Falsche Darstellungen, böswillige Beschimpfungen des Sicherheitsprogramms für Huawei-Endgeräte oder böse Handlungen wie Worteinsatz, Beleidigungen, Drohungen, Belästigung von Mitarbeitern und häufiges Schreiben von Kommentaren.
III. Behandlung von unregulierten Verhalten
Für das obige Verhalten Nr. 1 wird die Plattform die entsprechenden Berichte direkt ablehnen und gibt keine Erklärung zu den Ablehnungsgründen ab. Für Kontoarten, die insgesamt 3 der oben genannten ungültigen Berichte eingereicht haben, wird die Plattform eine Warnung aussprechen; bei insgesamt 5 Berichten hat die Plattform das Recht, das Konto des Huawei-Sicherheitsbelohnungsprogramms zu sperren.
Für das oben genannte Verhalten Nr. 2 hat das Huawei Terminal-Sicherheit-Prämienprogramm das Recht, den Accountinhaber (einschließlich Teams/Organisationen) sofort von der Teilnahme zu ausschließen oder ihn für immer zu sperren.
Außerdem hat die Behörde den Umfang der Bearbeitung von Tool-Lücken angepasst:
Ab dem 30. September 2026 werden keine Meldungen für Lücken in Huawei-Terminalwerkzeugen wie DevEco entgegengenommen. Wenn Sie jedoch Lücken entdecken, die dazu führen könnten, dass die Lieferkette des öffentlichen Repos der selbst entwickelten Werkzeuge vergiftet wird, oder Lücken, durch die die Sicherheit der Huawei-Terminalgeräte beeinträchtigt werden könnte, können Sie weiterhin Meldungen einreichen. Wir werden eine Bewertung basierend auf den Auswirkungen der Lücken vornehmen und dann eine Antwort geben.