Google stoppt Bug-Bounty: KI-Meldungen sind meist ungültig

TVS News KI redaktionell betreut präsentiert Google stoppt Bug-Bounty-Programm: KI-Spam erzwingt Regel-Refit.

Google zieht bei seinem Bug-Bounty-Programm für Open Source die Reißleine. Der Grund: Die überwiegende Mehrheit der automatisiert eingereichten Fehlermeldungen ist ungültig.

Das Programm, über das Sicherheitsforscher bislang Schwachstellen in Open-Source-Software an Google melden und dafür Prämien kassieren konnten, wird vorerst gestoppt. Das berichtet Golem.de.

Warum stoppt Google das Programm?

Google begründet den Schritt mit einer klaren Beobachtung aus der Praxis: Die meisten Fehlermeldungen, die automatisiert – also mithilfe von KI-Tools – erstellt und eingereicht wurden, haben sich bei der Prüfung als ungültig erwiesen. Sie beschreiben entweder keine echten Schwachstellen oder sind schlicht nicht reproduzierbar.

Konkret geht es also um jene Reports, die mit Hilfe von KI zusammengebaut und an das Bug-Bounty-Programm geschickt wurden – und die im Sicherheitsteam durchfallen, bevor sie eine Prämie auslösen können.

Was ändert sich jetzt?

Google will das Programm nicht dauerhaft einstampfen, sondern die Spielregeln anpassen. Das Unternehmen überarbeitet nach eigenen Angaben aktuell die Regeln für KI-basierte Einreichungen. Wie genau die neuen Vorgaben aussehen und wann das Programm wieder an den Start geht, ist bisher offen.

Für Sicherheitsforscher, die bei der Code-Analyse auf KI-Tools setzen, heißt das: Sie müssen sich auf strengere Anforderungen einstellen, wenn sie künftig wieder Prämien über das Programm kassieren wollen.

Was heißt das für Open-Source-Sicherheit?

Bug-Bounty-Programme sind ein wichtiger Kanal, um Schwachstellen in Open-Source-Code aufzudecken, bevor Angreifer sie ausnutzen. Wenn Google sein Programm pausiert, fehlt vorerst ein Anreiz für externe Sicherheitsforscher, gezielt nach Lücken in betreuten Open-Source-Projekten zu suchen. Die Details der Regelüberarbeitung dürften daher mit Spannung erwartet werden.

Stand: Weitere Details zu den neuen Regeln und zum Zeitplan hat Google bisher nicht genannt.