IT之家 10月14日の報道によると、華為セキュリティ緊急対応センターが、華為端末のセキュリティ報酬プログラムに関する後続の脆弱性報告処理規則についての告知を発表した。
公式によると、今年はAIツールを利用して脆弱性を特定する際の報告が多数寄せられており、そのほとんどがPoCを提供しているが、しかし、AIの「幻想」によって誤報が発生することは避けられない。
限られた審査リソースを合理的に配分するため、Huawei端末セキュリティ報酬プログラムの審査チームが実際に有効な脆弱性に集中できるようにし、同時に健全で秩序のあるコミュニティエコシステムを維持するために、以下の要件が提案される：
一、脆弱性報告の要件
AIによる補助や自動化された発見の脆弱性報告については、提出前に必ず人間による分析と検証を行ってください。私たちは、白帽子が完全なEXP攻撃チェーンの検証を提供することを推奨します。報告書には、脆弱性が実際に与えるセキュリティ上の影響の証明を含めるようお願いします。これには、以下のものを含むが限らない：
動的で実行可能な完全なPoC；
影響を受けた製品、システムバージョン、および被害状況の説明（注：ボットが製品に影響を与えた場合は、報奨プログラムの対象内であり、最新のHarmonyOS システムバージョンにアップグレードされている必要がある）；
報告内容は明確で理解しやすく、実行手順も簡潔で分かりやすい。
完全なログと結果のスクリーンショット／デモ動画；
攻撃経路は、実際の攻撃シナリオの入り口から引き起こされ、実際のセキュリティ影響をもたらすことが証明されている必要がある。
二、不規則な行動
白帽子は報酬プログラムの全過程において、常に相互尊重を保ち、専門的で友好的な方法と言葉でコミュニケーションを取るべきである。以下の行為は禁止される：
継続的に、繰り返し、大量に提出される、AIが直接生成された、人為的な再現が行われていない、最新の呼び出し可能なインターフェースによって引き起こされていない、抽出された不完全なコードセグメントの分析や検証によって証明されない、実際の安全影響を証明できる結果が提供されていない無効な報告書；
事実を歪曲したり、華為の端末セキュリティ報奨制度を悪意で中傷したり、職員に対する言葉攻撃、罵倒、脅迫、ストレス行為、ブログの過剰な投稿などの悪意ある行為を行う。
三、不規則な行為の処罰
上記の第1項目の行為について、プラットフォームは関連する報告を直接却下し、却下理由を個別に説明することはありません。上記の無効な報告を合計3件提出したアカウントには注意喚起を行い、合計5件に達した場合は、プラットフォームが華為セキュリティ報酬プログラムのアカウントを停止する権利があります。
上記の第2項目の行為については、ハウェ端末セキュリティ報酬プログラムが、アカウント保有者（チーム／組織を含む）の参加資格を直ちに停止するか、永久的なブロックを行う権利を有する。
また、公式側はツール系の脆弱性受付範囲を調整しました：
2026年9月30日から、Huaweiの端末ツール（例：DevEcoなど）の脆弱性については、一時的に受付を行いません。しかし、自作ツールのパブリック倉庫の供給チェーンに影響を与える脆弱性や、そのツールを利用してHuaweiの端末機器の安全に影響を与える脆弱性を発見した場合は、依然として提出が可能です。私たちは、脆弱性の影響などの要素を総合的に評価した上で回答を行います。