Google stoppt Bug-Bounty für Open Source wegen KI-Flut
Google pausiert sein Prämienprogramm für Sicherheitslücken in Open-Source-Software bis ins erste Quartal 2027, weil automatisierte KI-Meldungen das Programm überfluten. Die allermeisten seien ungültig. Wir ordnen ein, was weiterläuft und was das für die Schweiz heisst.
Pascal Eugster
GRÜNDER & ENTWICKLER
6. OKTOBER 2026
2 MIN. LESEZEIT
INHALT
INHALT
in
PARTNER · INOO GMBH
Wie viel KI verträgt dein Betrieb? In 30 Minuten Klartext.
Kostenloses Erstgespräch — herstellerneutral, direkt aus dem Rheintal.
Gespräch buchen →
DAS WICHTIGSTE IN KÜRZE
Googles Open-Source-Prämienprogramm ruht bis Anfang 2027, weil fast alle automatisierten Meldungen ungültig sind: Eine Meldung zählt erst, wenn jemand sie reproduziert hat.
Google hat sein Prämienprogramm für Sicherheitslücken in Open-Source-Software auf Eis gelegt, weil es von KI-generierten Meldungen überflutet wird. Das schreibt TechCrunch am 4. Oktober. Die Pause gilt seit dem 1. Oktober und soll bis ins erste Quartal 2027 dauern.
«Die allermeisten sind nicht gültig»
Google begründet den Schritt laut TechCrunch so: Es gebe «einen deutlichen Anstieg automatisierter Meldungen, von denen die allermeisten nicht gültig sind». Nach Inc. zahlte das Programm bisher zwischen 500 und über 30'000 Dollar pro Fund, je nach Schwere und Projekt. Wer Lücken findet, soll sich in der Zwischenzeit an Googles andere Programme wenden.
Was weiterläuft
Laut Android Headlines betrifft die Pause nur Meldungen zu Produktschwachstellen. Berichte zur Lieferkette und das Patch-Prämienprogramm (bis 15'000 Dollar) bleiben offen. Dieselbe Quelle nennt Golang, Angular, Fuchsia und wichtige GitHub-Actions als Projekte, die automatisierte Meldungen erhielten. Das ist eine Einzelangabe, wir führen sie deshalb nur zugeschrieben an.
Verifizieren bleibt Pflicht
Googles Verhaltenskodex verlangt von Teilnehmenden, ihre Funde vor dem Einreichen zu prüfen, besonders wenn KI-Werkzeuge im Spiel waren. Laut Inc. will Google die Pause nutzen, um das Programm neu aufzusetzen. Neuigkeiten dazu stellt es für das erste Quartal 2027 in Aussicht.
Das Problem ist nicht auf Google beschränkt. Inc. berichtet, auch HackerOne und Bugcrowd sähen mehr KI-generierte Fehlalarme. Bugcrowd merkt aber an, bei ihnen habe KI bisher keine nennenswerte Flut an Unsinn ausgelöst.
