Google pausiert Open-Source-Bug-Bounty-Programm wegen Flut an KI-Meldungen

Google hat sein Open Source Software Vulnerability Rewards Program mit Wirkung zum 1. Oktober offiziell vorübergehend ausgesetzt. Als Grund nennt der Technologiekonzern einen nicht mehr tragbaren Zustrom minderwertiger, automatisierter Sicherheitsmeldungen. Das Unternehmen machte deutlich, dass die Verwalter von Open-Source-Projekten dringend Entlastung von dem kontinuierlichen Strom ungültiger Befunde benötigen. Ein offizielles Update zum Status der Initiative wird laut Google erst im ersten Quartal 2027 erwartet.

Automatisierter Spam überfordert Projektbetreuer

Die Entscheidung, das Prämienprogramm für Open-Source-Software einzufrieren, ist auf einen steilen Anstieg automatisierter Einreichungen zurückzuführen, die laut Google zum überwiegenden Teil ungültig waren. Maintainer und Triage-Ingenieure, die für die Prüfung eingehender Sicherheitsberichte zuständig sind, sahen sich einer Masse von Berichten über angebliche Schwachstellen gegenüber. Viele dieser Einreichungen enthielten fehlerhafte Befunde sowie KI-generierte Halluzinationen. Dies zwang die Fachexperten dazu, wertvolle Arbeitszeit mit der Analyse scheinbar plausibler, in Wahrheit jedoch völlig unzutreffender Code-Bewertungen zu verbringen.

Diese Unterbrechung des Betriebs spiegelt grundlegende Warnungen von Cybersicherheitsspezialisten wider. Diese hatten wiederholt davor gewarnt, dass leicht zugängliche Werkzeuge der generativen KI die etablierten Arbeitsabläufe von Bug-Bounty-Programmen erheblich belasten können. Indem solche Tools automatisierte Berichte über Sicherheitslücken mit minimalem Aufwand in großem Umfang ermöglichen, überschwemmen sie Open-Source-Kanäle und lenken wertvolle menschliche Expertise von der Behebung tatsächlicher Sicherheitslücken ab.

Alternative Prämienkanäle bleiben weiterhin aktiv

Während das spezielle Belohnungsprogramm für Open-Source-Software vorübergehend für neue Einreichungen geschlossen bleibt, bestätigte Google, dass seine übrigen Prämienprogramme für Sicherheitslücken voll funktionsfähig bleiben. Unabhängige Sicherheitsforscher werden dazu aufgerufen, sich über diese etablierten Ausweichkanäle einzubringen, während der Konzern an langfristigen Lösungen für den Umgang mit automatisierten Berichten arbeitet.

Die mehrjährige Pause verdeutlicht die erhebliche Herausforderung für Organisationen, offene Einreichungen aus der Community mit der Realität des automatisierten Rauschens abzuwägen. Dies unterstreicht die dringende Notwendigkeit neu konzipierter Triage-Modelle im Zeitalter der generativen KI.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: Google froze its open source bug bounty program due to a ‘significant rise’ in AI submissions