Ein Bug-Bounty-Programm braucht Menschen, die Sicherheitslücken melden. Zu viele Meldungen, vor allem solche, die keiner Prüfung standhalten, können aus diesem nützlichen Signal eine Warteschlange voller Arbeit machen. Google hat sein Open-Source-Vulnerability-Rewards-Programm nach einem Anstieg automatisierter Einsendungen pausiert, von denen die meisten nach eigenen Angaben ungültig waren.
Eine Pause, keine Abschaltung
Google hat sein Open Source Software Vulnerability Rewards Program am 1. Oktober pausiert. Das Programm belohnt Forschende, die Schwachstellen in Googles Open-Source-Software finden.
Das Unternehmen kündigte ein Update für das erste Quartal 2027 an. Bis dahin sollen Teilnehmende Googles andere Bug-Bounty-Programme in Betracht ziehen.
Google nannte als Grund einen "deutlichen Anstieg" automatisierter Einsendungen und ergänzte, dass die große Mehrheit nicht gültig sei. Die Meldungen wurden außerdem mit KI-generierten Einsendungen in Verbindung gebracht, darunter Behauptungen mit Halluzinationen. Die Folge, so Berichte über die Pause, war zusätzlicher Druck auf Google-Engineers und Open-Source-Maintainer, Material zu prüfen, das keine echten Schwachstellen enthielt.
Wenn Volumen aufhört, nützlich zu sein
Bug-Bounty-Programme leben von einem einfachen Tausch: Forschende liefern glaubwürdige Funde, Unternehmen belohnen Meldungen, die beim Beheben von Sicherheitsproblemen helfen. Automatisierung kann die Zahl der Einsendungen steigern, doch mehr Einträge bedeuten nicht automatisch mehr nützliche Entdeckungen. Jemand muss sie weiterhin prüfen.
Dieser Unterschied zählt für Security-Teams. Eine schlicht falsche Meldung kostet Zeit bei der Bewertung. Ein erfundener oder halluzinierter Fund kann es zusätzlich erschweren, die Berichte zu erkennen, die Aufmerksamkeit verdienen. Googles Stellungnahme nennt keine Zahlen zum Umfang der Einsendungen und erklärt nicht, wie diese vor der Wiederaufnahme des Programms geprüft werden sollen.
Vorerst ist die praktische Botschaft an Forschende einfach: Das Open-Source-Programm ruht, andere Google-Bounty-Programme bleiben eine Option. Das Unternehmen hat einen Termin für das nächste Update gesetzt, keinen bestätigten Termin für die Rückkehr des Programms. In der Sicherheitsforschung gilt wie beim Posteingang: Ein größerer Stapel ist nicht dasselbe wie Fortschritt.