Google hat sein Open-Source-Bug-Bounty-Programm unbestimmt pausiert, und der Grund ist nicht das, was man vielleicht erwartet. Das Programm, das Forscher für das Auffinden von Schwachstellen in der Open-Source-Software des Unternehmens belohnt, wurde ab dem 1. Oktober eingefroren. Google sagte, der Schritt sei auf einen „erheblichen Anstieg“ automatisierter Einreichungen zurückzuführen – von denen die überwiegende Mehrheit ungültig ist.
Das Unternehmen veröffentlichte die Nachricht auf X und auf der Programmwebsite. Es versprach, im ersten Quartal 2027 „eine Aktualisierung“ bereitzustellen. In der Zwischenzeit werden die Teilnehmer ermutigt, Googles andere Bug-Bounty-Programme in Betracht zu ziehen.
Details zur Pause und die Erklärung des Unternehmens
Der Schritt ist bemerkenswert, weil er weithin vorhergesagt wurde. Im vergangenen Jahr berichtete TechCrunch, dass Cybersicherheits-Experten vor den Risiken von KI-Schlampereien für Bug-Bounty-Programme warnten. Diese Warnung scheint sich nun bewahrheitet zu haben, zumindest für Google.
Die Erklärung des Unternehmens war direkt. „Diese Pause ist auf einen erheblichen Anstieg automatisierter Einreichungen zurückzuführen, von denen die überwiegende Mehrheit ungültig ist“, sagte Google.
Die Details sind bisher dürftig. Google sagte nicht, wie viele ungültige Einreichungen es erhalten hat oder wie diese als ungültig identifiziert wurden. Es sagte nicht, ob gültige Berichte im Schwall verloren gingen. Es sagte nicht, ob die Pause die Funktionsweise des Programms ändern wird, wenn es wieder aufgenommen wird.
Was Google sagte, ist, dass das Problem nicht menschlich war. Die Einreichungen kamen von Maschinen, und die meisten waren falsch.
Wie das Programm vor der Pause funktionierte
Vor der Pause belohnte das Open-Source-Software-Schwachstellen-Rewards-Programm Forscher für das Auffinden von Schwachstellen in Googles Open-Source-Software. Das Programm sollte Sicherheitsforscher dazu anregen, den Code des Unternehmens zu prüfen und Probleme zu melden, bevor diese ausgenutzt werden könnten.
Das Programm funktionierte, indem es Geldprämien für gültige Berichte anbot. Forscher reichten einen Bericht ein, Google prüfte ihn, und wenn der Bericht bestätigt wurde, wurde der Forscher bezahlt.
Das Programm war Teil einer umfassenderen Initiative von Google, um seine Open-Source-Projekte zu sichern. Open-Source-Software ist Code, der für jeden frei verfügbar ist, um ihn zu nutzen, zu studieren und zu modifizieren. Sie ist ein Eckpfeiler des modernen Software-Ökosystems und birgt Risiken, da jeder den Code einsehen kann.
Googles Programm sollte diese Risiken in Vorteile verwandeln.
Warum die Pause notwendig war
Die Pause ist eine direkte Folge dessen, was mit dem Programm passiert ist. Google-Ingenieure und Open-Source-Wartende waren überflutet von Berichten, die ungültig waren oder Halluzinationen enthielten. Das Unternehmen sagte, dass der Großteil dieser Einreichungen automatisiert wurde.
Der Begriff „Halluzinationen“ ist aussagekräftig. Im Kontext von KI ist eine Halluzination ein Stück Ausgabe, das von einem Modell generiert wird, aber nicht auf realen Daten basiert. Eine KI könnte einen Bericht erstellen, der echt aussieht, aber völlig erfunden ist.
Google-Ingenieure müssen nun einen Strom von Einreichungen durchforsten, um die echten Berichte von maschinell erzeugtem Rauschen zu trennen. Das Unternehmen beschrieb die Situation in unmissverständlichen Worten.
Was das Unternehmen sagte, ist, dass das Volumen so groß war, dass das Programm unhandlich wurde.
Die Warnung vom letzten Jahr
Die Ironie ist, dass Experten dieses Problem bereits im letzten Jahr ansprachen. TechCrunch berichtete, dass Cybersicherheits-Experten vor KI-Schrott warnten – dem Risiko, dass automatisierte Systeme Bug-Bounty-Programme mit Rauschen überschwemmen könnten.
Die Warnung war spezifisch. Es war keine Vorhersage, dass KI-Einreichungen eines Tages ein Programm überlasten würden. Es war eine Warnung, dass das Risiko real war.
Nun hat sich dieses Risiko materialisiert. Google ist das Unternehmen, das damit konfrontiert ist.
Was als Nächstes passiert
Das Programm ist bis zum ersten Quartal 2027 pausiert. Das ist eine lange Zeit, um auf eine Lösung zu warten. Das Unternehmen hat nicht gesagt, wie diese Lösung aussehen wird. Es hat nicht gesagt, ob das Programm mit den gleichen Regeln, mit neuen Regeln oder gar nicht wiederaufgenommen wird.
Die Erklärung des Unternehmens deutet darauf hin, dass die Pause vorübergehend ist. Das Versprechen, im ersten Quartal 2027 ein „Update“ bereitzustellen, impliziert, dass das Programm irgendwann wiederaufgenommen wird.
Google hat nicht gesagt, ob es den Einreichungsprozess ändern wird. Es hat nicht gesagt, ob es von Forschern verlangen wird, zu beweisen, dass sie menschlich sind, bevor sie etwas einreichen. Es hat nicht gesagt, ob es die Anzahl der Einreichungen oder die Rate, mit der sie vorgenommen werden können, beschränken wird. Es hat nicht gesagt, ob es einen Screening-Schritt einführen wird, der ungültige Berichte abfängt, bevor sie Ingenieure erreichen.
Das Unternehmen hat nicht gesagt, ob die Pause das Gesamtvolumen der Berichte beeinflussen wird, die es erhält. Es hat nicht gesagt, ob die Pause die Zusammensetzung der Berichte beeinflussen wird, die es erhält. Es hat nicht gesagt, ob die Pause die Qualität der Berichte beeinflussen wird, die es erhält.
Die Ermutigung, andere Programme auszuprobieren
Während das Programm pausiert ist, werden die Teilnehmer ermutigt, andere Bug-Bounty-Programme von Google in Betracht zu ziehen. Google betreibt mehrere solche Programme, die jeweils auf einen anderen Bereich seiner Geschäftstätigkeit ausgerichtet sind.
Die Ermutigung ist eine praktische. Forscher, die das Open-Source-Programm einreichen wollten, haben nun andere Optionen. Google verlässt sich nicht vollständig auf seine Bug-Bounty-Bemühungen – es leitet sie lediglich um.
Die Ermutigung vermittelt auch eine Botschaft. Google teilt der Sicherheits-Community mit, dass es weiterhin daran interessiert ist, mit Forschern zusammenzuarbeiten, auch wenn das Open-Source-Programm vorerst geschlossen ist.
Die harten Zahlen
- Pause beginnt: 1. Oktober
- Programm wiederaufgenommen: Bisher nicht angekündigt
- Nächste Aktualisierung versprochen: Erstes Quartal 2027
- Grund für die Pause: „Ein signifikanter Anstieg automatisierter Einreichungen, von denen die überwiegende Mehrheit ungültig sind“
- Erklärung veröffentlicht: X und die Program-Website
Was das für Forscher bedeutet
Die Pause verändert die Berechnung für Sicherheitsexperten. Wenn Sie planen, einen Bericht an das Open-Source-Programm zu senden, müssen Sie jetzt abwägen, ob der Aufwand sich lohnt.
Die Pause wirft auch eine breitere Frage nach der Zukunft von Bug-Bounty-Programmen auf. Wenn automatisierte Einreichungen ein Programm überfluten, könnten sie auch andere überfluten.
Die Pause ist auch eine Warnung an die Sicherheitsgemeinschaft. Wenn Sie ein KI-System entwickeln, das Berichte generiert, sollten Sie damit rechnen, dass Ihre Einreichungen mit Skepsis behandelt werden. Der Informationsrausch hat Konsequenzen, und die Unternehmen, die Bug-Bounty-Programme betreiben, sind nicht verpflichtet, damit umzugehen.
Die Pause ist eine Erinnerung daran, dass die Werkzeuge, die unser Leben einfacher machen – wie KI – unser Leben auch auf unerwartete Weise erschweren.
Googles Vorgehensweise ist ein grobes Instrument. Es ist aber auch ein klares Signal. Das Unternehmen sagt, dass es nicht mit dem Volumen der Einreichungen zurechtkommt, die es erhält, und es ist bereit, ein Programm abzuschalten, anstatt es zu einer Informationsquelle werden zu lassen.
Die Pause dauert bis zum ersten Quartal 2027. Danach wird das Unternehmen eine Aktualisierung bereitstellen. Bis dahin werden Forscher ermutigt, anderswo zu suchen.
Das Programm ist pausiert. Die Frage ist, was das Programm sein wird, wenn es zurückkehrt.
Quellenmaterial: „Google hat sein Open-Source-Bug-Bounty-Programm aufgrund eines ‚signifikanten Anstiegs‘ von KI-Einreichungen eingefroren“, TechCrunch.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.