Googles Open-Source-Software-Schwachstellenbelohnungsprogramm, das Forschende für in der Open-Source-Landschaft des Unternehmens gefundene Fehler bezahlt, wurde am 1. Oktober pausiert, nachdem eine Flut KI-generierter Meldungen seine Prüfer überlastet hatte.¹

Die Erklärung des Unternehmens war unverblümt: „Diese Pause ist auf einen erheblichen Anstieg automatisierter Einreichungen zurückzuführen, von denen die überwiegende Mehrheit nicht gültig ist.“¹ Ingenieure und Open-Source-Maintainer wurden Berichten zufolge mit Einreichungen überschwemmt, die entweder ungültig oder voller KI-Halluzinationen waren – ein Arbeitsaufwand, der ein Programm zur Belohnung von Schwachstellen zu einer Triage-Operation macht.¹

Die Aussetzung wird mindestens bis zum nächsten Jahr andauern; Google versprach ein Update im ersten Quartal 2027. In der Zwischenzeit verwies das Unternehmen angehende Forschende auf seine anderen Bug-Bounty-Programme.¹

Der Vorfall folgt auf frühere Warnungen von Cybersicherheitsspezialisten, wonach KI-generierter „Müll“ Bug-Bounty-Systeme beschädigen könnte, indem legitime Meldungen unter automatisiertem Unrat begraben werden.¹ Googles Entscheidung legt nahe, dass dieses Risiko nicht länger theoretisch ist: Das Volumen minderwertiger Einreichungen ist störend genug geworden, um einen gesamten Open-Source-Belohnungskanal zu stoppen.

Der Druck beschränkt sich nicht auf Google. Linux sah sich einer ähnlichen Welle problematischer KI-gesteuerter Meldungen gegenüber, was einen breiteren Konflikt für Open-Source-Projekte unterstreicht: Automatisierung kann den Kreis der Menschen erweitern, die Fehler melden, aber sie kann auch die knappe menschliche Aufmerksamkeit aufzehren, die erforderlich ist, um sie zu verifizieren.²

Für legitime Sicherheitsforschende nimmt die Pause einen Weg zur Vergütung. Für Maintainer ist sie ein Eingeständnis, dass die aktuelle Meldepipeline Signal und synthetisches Rauschen nicht schnell genug unterscheiden kann.²