IT之家 Information du 10月14日 : le centre de réponse d'urgence de sécurité de Huawei a publié aujourd'hui une annonce du programme de primes de sécurité des terminaux Huawei concernant les règles de traitement des futurs rapports de vulnérabilités.
L'officiel indique avoir reçu cette année un grand nombre de rapports de vulnérabilités découvertes avec l'aide d'outils d'IA, dont la majorité fournissaient un PoC (note IT之家 : preuve de concept, code, script, paquet de requête ou étapes de reproduction détaillées prouvant qu'une faille de sécurité existe réellement et peut être déclenchée),mais des faux positifs dus à l'induction erronée des « hallucinations » de l'IA subsistent inévitablement。
Afin de répartir raisonnablement les ressources limitées de révision, de permettre à l'équipe de révision du programme de primes de sécurité des terminaux Huawei de se concentrer sur les vulnérabilités réelles et valides, tout en préservant un écosystème communautaire sain et ordonné, les exigences suivantes sont désormais formulées :
I. Exigences relatives aux rapports de vulnérabilités
Pour les rapports de vulnérabilités découvertes avec l'aide de l'IA ou de manière automatisée, une analyse et une vérification manuelles doivent impérativement être effectuées avant la soumission. Nous encourageons les hackers éthiques à fournir une vérification complète de la chaîne d'attaque EXP ; veuillez vous assurer que le rapport fournit la preuve de l'impact de sécurité réel de la vulnérabilité, y compris mais sans s'y limiter :
un PoC complet exécutable dynamiquement ;
les produits et versions système concernés et une description des dangers (note : les produits affectés par la vulnérabilité doivent être dans le périmètre du programme de primes et avoir été mis à jour vers la dernière HarmonyOS version du système) ;
un contenu de rapport clair et compréhensible, avec des étapes de reproduction simples et précises ;
des journaux complets et des captures d'écran des résultats / vidéos de démonstration ;
le chemin d'attaque doit être déclenché depuis le point d'entrée d'un scénario d'attaque réel et démontrer un impact de sécurité réel.
II. Comportements non conformes
Tout au long de leur participation au programme de primes, les hackers éthiques doivent toujours maintenir le respect mutuel et communiquer de manière professionnelle et amicale. Sont interdits les comportements suivants :
la soumission continue, répétée et massive de rapports invalides générés directement par l'IA, non reproduits manuellement, non déclenchés via les dernières interfaces appelables, basés sur des extraits de code incomplets analysés et vérifiés, ou ne fournissant pas de résultats de vérification prouvant un impact de sécurité réel ;
la déformation des faits, la diffamation malveillante du programme de primes de sécurité des terminaux Huawei, ou des comportements malveillants tels qu'attaques verbales, insultes, menaces, harcèlement du personnel et flood de messages.
III. Traitement des comportements non conformes
Pour le comportement visé au point 1, la plateforme rejettera directement les rapports concernés sans expliquer individuellement les motifs du rejet. Les comptes ayant cumulé 3 de ces rapports invalides recevront un avertissement ; en cas de cumul de 5, la plateforme se réserve le droit de bannir leur compte du programme de primes de sécurité Huawei.
Pour le comportement visé au point 2, le programme de primes de sécurité des terminaux Huawei a le droit de mettre fin immédiatement à l'éligibilité du titulaire du compte (équipe / organisation comprise) ou de le bannir définitivement.
En outre, l'officiel a également ajusté le périmètre de prise en charge des vulnérabilités liées aux outils :
À partir du 30 septembre 2026, les vulnérabilités des outils de terminaux Huawei (comme DevEco, etc.) ne seront temporairement plus acceptées. Toutefois, si vous découvrez une vulnérabilité pouvant entraîner un empoisonnement de la chaîne d'approvisionnement du dépôt public des outils développés en interne, ou une vulnérabilité permettant via cet outil de compromettre la sécurité des terminaux Huawei, vous pouvez toujours la soumettre ; nous vous répondrons après une évaluation globale basée sur l'impact de la vulnérabilité et d'autres facteurs.