Google pausiert Berichte über Produkt-Sicherheitslücken im Open-Source-Bounty-Programm wegen automatisierter Einreichungen

Google hat die Einreichung von Produkt-Sicherheitslücken für sein Open Source Software Vulnerability Reward Program (OSS VRP) vorübergehend ausgesetzt. Das Unternehmen gab die Pause am 1. Oktober bekannt und begründete sie mit einem erheblichen Anstieg automatisierter Schwachstellenberichte, von denen die überwiegende Mehrheit ungültig war.

Spezifischer Umfang und verfügbare Alternativen

Die Aussetzung betrifft gezielt Meldungen von Produkt-Sicherheitslücken, die am oder nach dem 1. Oktober 2026 beim OSS VRP eingereicht wurden. Einreichungen vor diesem Datum sowie ausstehende Meldungen und Berichte über Sicherheitslücken in der Lieferkette bleiben von der Pause unberührt.

Google wies darauf hin, dass Sicherheitsforscher auf der Suche nach alternativen Meldewegen weiterhin Produkt-Sicherheitslücken für ausgewählte Google-Cloud-Repositories über das Cloud VRP einreichen können. Sicherheitsforscher können zudem am Patch Rewards Program des Unternehmens teilnehmen, das finanzielle Anreize für proaktive Sicherheitsverbesserungen an Open-Source-Projekten bietet.

Reaktion auf den Druck automatisierter Werkzeuge

Die Entscheidung spiegelt die wachsende Belastung der Sicherheits-Triage-Teams durch automatisierte Erkennungswerkzeuge wider. Das OSS VRP wurde 2022 eingeführt, um Forscher für das Aufspüren von Fehlern in Googles Open-Source-Software zu belohnen, und ist eines von mehreren Programmen, die ihre Regeln anpassen, um KI-gestützter Forschung zu begegnen.

Im Mai 2026 änderte Google die Auszahlungsmodelle für seine Prämienprogramme für Chrome und Android. Das Unternehmen reduzierte die Standardbelohnungen für Chrome zugunsten prägnanter Einreichungen mit konkretem Proof of Concept, während Anreize für Android auf Schwachstellentypen umgeleitet wurden, die von automatisierten Werkzeugen nur schwer zu identifizieren sind. Im Rahmen dieser Änderungen erhöhte Google die maximale Belohnung für einen Zero-Click-Exploit für Pixel Titan M mit Persistenz von 1 Million auf 1,5 Millionen US-Dollar.

Branchenweite Programmanpassungen

Google ist nicht die einzige Organisation, die ihre Belohnungen für Sicherheitslücken umstrukturiert, um mit automatisierten Einreichungen umzugehen. Im März 2026 pausierte das von HackerOne verwaltete Internet-Bug-Bounty-Programm neue Berichtseinreichungen mit der Begründung, dass Umfang und Tempo KI-gestützter Erkenntnisse die Fähigkeit der Open-Source-Community zur Bereitstellung von Patches überstiegen hätten.

Google plant, das Rahmenwerk des OSS VRP weiter umzugestalten, und rechnet damit, im ersten Quartal 2027 ein Update zum Status des Programms zu geben.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: Google Narrows Open Source Bug Bounty Amid Wave of Invalid Automated Reports