IT之家 El 14 de octubre, el Centro de Respuesta Inmediata de Seguridad de Huawei publicó un anuncio sobre las reglas de manejo de los informes de vulnerabilidades posteriores en el programa de recompensas de seguridad para dispositivos Huawei.
Según la declaración oficial, este año se han recibido numerosas denuncias de vulnerabilidades que se han encontrado mediante el uso de herramientas de IA para su investigación. La mayoría de estas denuncias incluyen PoC (Nota de IT Home: pruebas de concepto, código, scripts, paquetes de solicitud o pasos detallados que demuestran que una vulnerabilidad de seguridad existe y puede ser activada), pero sigue siendo inevitable que haya alertas falsas causadas por la “ilusión” de la IA.
Para asignar de manera razonable los recursos limitados de revisión y asegurar que el equipo de revisión del programa de recompensas de seguridad de terminales Huawei se concentre en los problemas reales y efectivos, así como mantener una ecosistema comunitario saludable y ordenado, se presentan las siguientes requisiciones:
I. Requisitos para los informes de vulnerabilidades
Para los informes de vulnerabilidades encontradas con ayuda de IA o automatización, es necesario realizar un análisis y verificación manual antes de enviarlos. Incentivamos a los white hat a proporcionar una verificación completa de la cadena de ataques EXP; asegúrese de incluir en el informe pruebas que demuestren el impacto real en la seguridad de la vulnerabilidad, incluyendo pero no limitado a:
PoC completo y ejecutable dinámicamente;
Productos afectados, versiones de sistema y descripción de los daños (Nota: se requiere que el impacto de la vulnerabilidad afecte productos que estén dentro del programa de recompensas y que hayan sido actualizados a la última versiones de HarmonyOS);
El contenido del informe es claro y fácil de entender; los pasos para reproducirlo son sencillos y comprensibles.
Log de ejecución completo y capturas de pantalla de los resultados; video de demostración.
El camino de ataque debe ser activado desde la entrada del escenario de ataque real y debe demostrar tener un impacto seguro real.
II. Comportamientos no estándar
Durante todo el proceso de participación en el programa de recompensas, las gorras blancas deben mantener un respeto mutuo y comunicarse de manera profesional y amable. Se prohíben las siguientes acciones:
Informes inválidos que continúan, se repiten y se envían en gran cantidad: generados directamente por la IA, sin reproducción humana, no activados por las últimas interfaces disponibles, analizados o verificados con fragmentos de código incompletos o sin resultados que demuestren un efecto real de seguridad.
Distorsionar los hechos, difamar maliciosamente el programa de recompensas de seguridad de terminales Huawei o realizar ataques verbales, insultos, amenazas, acoso contra el personal y publicar mensajes en masa de forma maliciosa.
III. Tratamiento de comportamientos no estándar
Para el comportamiento mencionado en el punto 1, la plataforma rechazará directamente los informes relacionados, sin explicar por qué se rechaza cada uno. Para las cuentas que hayan presentado 3 informes inválidos mencionados, la plataforma enviará una advertencia; si se alcanzan 5, la plataforma tendrá derecho a bloquear la cuenta del programa de recompensas de seguridad de Huawei.
Para el comportamiento mencionado en el punto 2, el programa de recompensas de seguridad de terminales de Huawei tiene derecho a cancelar de inmediato la calificación del titular de la cuenta (incluyendo equipos/organizaciones) o aplicar un bloqueo permanente.
Además, las autoridades también ajustaron el alcance de la atención de las vulnerabilidades relacionadas con herramientas:
A partir del 30 de septiembre de 2026, no se aceptarán vulnerabilidades en las herramientas de terminales Huawei (como DevEco, etc.). Sin embargo, si descubre vulnerabilidades que puedan causar daños en la cadena de suministro del almacén público de las herramientas desarrolladas por Huawei o que permitan explotar dichas herramientas para afectar la seguridad de las terminales de Huawei, puede enviarlas. Nosotros las evaluaremos en función de factores como el impacto de la vulnerabilidad y responderemos después.