Sicherheit & Open Source · Vulnerability Management
Google zieht die Notbremse: Open-Source-Bug-Bounty wegen Flut an KI-Spam eingefroren
Stoppsignal für das weltweite Open-Source-Ökosystem. Google hat die Notbremse gezogen und die Annahme von Schwachstellenmeldungen für sein renommiertes Open Source Software Vulnerability Reward Program (OSS VRP) mit sofortiger Wirkung auf Eis gelegt. Der operative Freeze für Produkt-Schwachstellen trat am 1. Oktober 2026 in Kraft und soll bis mindestens in das erste Quartal 2027 andauern. Was wie eine verwaltungstechnische Pause in einem einzelnen Förderprogramm wirkt, markiert in Wahrheit eine dramatische Zäsur für die gesamte IT-Sicherheitsbranche: Eines der finanzstärksten und wichtigsten Belohnungsprogramme für die Absicherung quelloffener Basiskomponenten kapituliert vor der schieren Masse maschinell erzeugter Falschmeldungen.
Die Sintflut des KI-Slops. Der Grund für den drastischen Schritt ist eine beispiellose Überlastung der zuständigen Sicherheitsteams und Open-Source-Maintainer. In den vergangenen Monaten verzeichnete Google einen explosionsartigen Anstieg von Berichten, die von automatisierten LLM-Skripten und Möchtegern-Bug-Bounty-Jägern generiert wurden. Statt sorgfältig recherchierter Exploits reichten Nutzer zehntausende automatisierte Code-Scans ein, die von Sprachmodellen zu seitenlangen, scheinbar fundierten Schwachstellenanalysen aufgebläht wurden. Bei der manuellen Überprüfung entpuppten sich die gemeldeten Pufferüberläufe, Injektionsrisiken und Speicherlecks jedoch in überwältigender Mehrheit als reine Halluzinationen oder bedeutungslose theoretische Konstrukte ohne praktischen Angriffswert. Die Prüfer verbrachten hunderte Arbeitsstunden mit der Widerlegung plausibel klingenden Unsinns.
Was ruht und welche Kanäle aktiv bleiben. Google stellte in seiner offiziellen Mitteilung klar, dass der Stopp gezielt Produkt-Schwachstellen im Rahmen des OSS VRP betrifft. Valide Berichte, die vor dem Stichtag am 1. Oktober eingereicht wurden, werden regulär geprüft und vergütet. Zudem bleiben Meldungen zu Schwachstellen in der Software-Lieferkette (Supply-Chain-Angriffe) weiterhin geöffnet. Auch das separate Google Cloud VRP für Repositories, die direkte Auswirkungen auf Cloud-Infrastrukturen haben, sowie das Patch Rewards Program zur Honorierung von Sicherheitsverbesserungen laufen weiter. Doch für den gewöhnlichen Entwickler, der Fehler in Googles hunderten Open-Source-Bibliotheken meldet, bleibt die Tür bis auf Weiteres verschlossen.
Die Parallele zum weltweiten Review-Kollaps. Das Einknicken des OSS VRP ist kein isolierter Vorfall, sondern das jüngste Glied einer Kette struktureller Überlastungen. Wie wir in unserer gestrigen Ausgabe über das Moratorium für KI-generierten Code im COSMIC-Desktop berichteten, ersticken Softwareprojekte derzeit an der Diskrepanz zwischen kostenloser Codegenerierung und exponentiell teurer menschlicher Verifikation. Bereits im August sah sich Apple gezwungen, sein Security-Bounty-Programm mit strengen Einreichungsdeckeln und monatelangen Zwangspausen für KI-Spammer abzusichern. Während Plattformen wie arXiv Autoren auf zwei Paper pro Monat limitieren müssen, erreicht die automatisierte Schrott-Flut nun die operative Sicherheitsprüfung.
Umstrukturierung bis 2027 als Herkulesaufgabe. Google kündigte an, die monatelange Auszeit nutzen zu wollen, um die Einreichungs- und Verifikationsprozesse grundlegend neu zu gestalten. Bis zum Frühjahr 2027 will der Konzern ein überarbeitetes Framework vorstellen. Branchenkenner gehen davon aus, dass künftige Bug-Bounty-Programme ohne strikte Hürden – etwa verifizierte Identitäten, obligatorische kryptografische Proof-of-Concept-Exploits in Sandboxes oder automatisierte Reputations-Scoring-Systeme – nicht mehr existieren können. Wer Belohnungen für Sicherheitslücken ausschreibt, zieht im Zeitalter generativer Sprachmodelle Heerscharen automatisierter Bots an, die jedes offene Formular in eine Denial-of-Service-Attacke auf menschliche Aufmerksamkeit verwandeln.
Was das für Softwareunternehmen bedeutet. Für Chief Information Security Officers (CISOs) und Open-Source-Konsumenten ist Googles Schritt eine ernste Warnung. Das kollaborative Sicherheitsmodell, bei dem unabhängige Forscher durch monetäre Anreize zur Härtung von Open-Source-Software motiviert werden, ist empfindlich gestört. Unternehmen dürfen sich nicht länger darauf verlassen, dass Drittanbieter-Bounties für sauberen Code sorgen. Eigene Sicherheitsaudits, automatisierte Invarianten-Prüfungen und formale Verifikation müssen in der internen Software-Lieferkette massiv ausgebaut werden, um die entstehende Lücke aufzufangen.