.jpg?w=1024)
Bug-Bounty-Programme sollen Schwachstellen aufdecken und nicht Maintainer mit schlechten Meldungen überschütten. Google hat die Einreichung neuer Produkt-Schwachstellen für sein Open-Source-Bug-Bounty-Programm pausiert, nachdem die Zahl automatisierter Meldungen stark angestiegen war. Nach Angaben des Unternehmens waren die meisten davon ungültig.
Seit dem 1. Oktober nimmt Google über sein Open Source Software Vulnerability Reward Program, kurz OSS VRP, keine neuen Einreichungen von Produkt-Schwachstellen mehr an. Meldungen zur Software-Lieferkette und bereits offene Fälle bleiben bestehen, während Google diesen Teil des Programms überarbeitet und im 1. Quartal 2027 ein Update plant. Für Sicherheitsforscher und Unternehmen, die auf Open-Source-Software angewiesen sind, macht die Pause deutlich, welche wachsenden Kosten die KI-gestützte Suche nach Schwachstellen verursacht: Eine schnellere Erstellung von Meldungen kann mehr Prüfaufwand auf die Maintainer verlagern.
Google: Die meisten automatisierten Einreichungen waren ungültig
Das Google VRPsagte, die Pause sei auf einen „deutlichen Anstieg automatisierter Einreichungen“ zurückzuführen. Die überwältigende Mehrheit davon sei nicht gültig gewesen. Das Unternehmen forderte Forscher auf, relevante Erkenntnisse über seine anderen Schwachstellen-Prämienprogramme einzureichen oder stattdessen das Patch Rewards Program zu nutzen.
Tom’s Hardwareberichtete, dass Google-Ingenieure und Open-Source-Maintainer von Tausenden schlecht formulierten Meldungen überfordert gewesen seien. Diese behaupteten, Fehler zu identifizieren, erwiesen sich jedoch als ungültig oder nicht ausnutzbar. Einige Meldungen enthielten halluzinierte Befunde, sodass Prüfer Zeit mit der Validierung von Code verbringen mussten, anstatt an echten Schwachstellen zu arbeiten.
KI-gestützte Fehlersuche macht die Triage zum Engpass
Googlestartete das OSS VRP 2022, um Forscher zu belohnen, die Schwachstellen in seiner Open-Source-Software vertraulich melden, darunter Projekte wie Go, Angular und Protocol Buffers. Help Net Securitywies darauf hin, dass Beschwerden über minderwertige, KI-gestützteSchwachstellenmeldungen in Open-Source-Projekten und Bug-Bounty-Programmen bereits seit Monaten zunahmen.
Automatisierte Tools können Meldungen schnell erstellen, doch Maintainer müssen weiterhin prüfen, ob jeder Fund tatsächlich existiert und ausnutzbar ist. Für Unternehmen, die eigene Melde- oder Prämienprogramme betreiben, zeigt die Pause von Google, wie schnell KI-generierteMeldungen zusätzliche Arbeit für Sicherheitsteamsverursachen können. Prüfer müssen echte Schwachstellen weiterhin von Fehlalarmen trennen, bevor Ingenieure darauf reagieren können.
Tom’s Hardware verwies außerdem auf Linux-Maintainer, die erklärten, von Schwachstellenmeldungen „völlig überfordert“ zu sein, als die Zahl der Einreichungen durch die KI-gestützteFehlersuche zunahm. Die Publikation wies außerdem auf die Aussetzung von Intels Bug-Bounty-Programm hin, doch Intel bestätigte nicht, dass KI-generierte Meldungen der Grund für diese Entscheidung waren.
Die Erkenntnisse von eWeek
Die Regeln der Google Bug Hunters für das OSS VRPzeigen, dass die Pause nur einen Teil des Programms betrifft. Andere Meldeoptionen bleiben verfügbar, darunter Meldungen zur Lieferkette, bereits eingereichte Meldungen und bestimmte Schwachstellen im Zusammenhang mit Google Cloudüber das Cloud VRP.
OSS-VRP-Bereich | Status |
Neue Einreichungen von Produkt-Schwachstellen | Seit dem 1. Oktober pausiert |
Vor dem 1. Oktober eingereichte Produktmeldungen | Werden weiterhin bearbeitet |
OSS-Meldungen zur Lieferkette | Werden weiterhin angenommen |
Bestimmte Schwachstellen in Google-Cloud-Repositories | Können über das Cloud VRP infrage kommen |
Patch Rewards Program | Weiterhin für Sicherheitsverbesserungen verfügbar |
Forscher sollten vor der Übermittlung eines Fundes den Geltungsbereich der verbleibenden Programme von Googleprüfen. Für Sicherheitsteams in Unternehmen, die KI-Tools zur Fehlersuche bewerten, besteht die übergeordnete Lehre darin, reproduzierbare Befunde und den zu ihrer Validierung erforderlichen Aufwand zu messen, statt allein auf die Zahl der Meldungen zu schauen.
Google hat nicht mitgeteilt, welche Änderungen es an diesem Teil des Programms vornehmen wird. Das Unternehmen plant, im 1. Quartal 2027 ein Update bereitzustellen.
Du möchtest bessere Ergebnisse mit KI erzielen, ohne das Rauschen zu verstärken? Probiere unseren kostenlosen sechminütigen How to Talk to AIKurs aus, um einfache Methoden kennenzulernen, klarere Prompts zu schreiben und nützlichere Antworten zu erhalten. eWeek-Leser erhalten außerdem sieben Tage kostenlosen Zugang zu den anderen KI-Kursen der Neuron Academy. Hier geht’s zu allen Lektionen →