Googles Bug-Bounty-Programm leidet unter KI-generierten Berichten

Google hat am 1. Oktober eine Kategorie von Einreichungen für sein "Open Source Software Vulnerability Reward Program" (VRP) ausgesetzt. Das Programm soll externe Forscher für die Identifizierung von Sicherheitslücken in Software vergüten.

Als Grund für die Aussetzung nannte das Unternehmen "einen signifikanten Anstieg automatisierter Einreichungen, von denen die überwiegende Mehrheit nicht gültig ist". Dies erschwert es Google, echte Sicherheitslücken von gefälschten oder KI-generierten Berichten zu unterscheiden.

Google ist nicht die erste Organisation, die auf dieses Problem stößt. Anfang des Jahres stellte das Open-Source-Projekt curl sein eigenes Bug-Bounty-Programm ein. Berichten zufolge sank die Rate der bestätigten Schwachstellen ab 2025 unter 5 Prozent, verglichen mit über 15 Prozent in früheren Jahren.

Dieses Problem, das teilweise durch künstliche Intelligenz (KI) vorangetrieben wird, hat seine Wurzeln in älteren psychologischen und biologischen Prinzipien wie dem "Handicap-Prinzip". Früher diente der Aufwand, der für die Erstellung einer Einreichung erforderlich war, als Filter, aber die KI hat diese Hürde weitgehend beseitigt. Die Konsequenzen reichen über die Bug-Meldung hinaus und beeinträchtigen die allgemeine Wahrnehmung und Zuverlässigkeit von Signalen.