Google pausiert Open-Source-Fehlermeldungen nach starkem Anstieg automatisierter Einreichungen

Google hat die Annahme von Berichten über Produktschwachstellen im Rahmen seines Open Source Software Vulnerability Rewards Program (OSS VRP) vorübergehend eingestellt. Die Änderung am Google-Bug-Bounty-Programm folgt auf einen starken Anstieg automatisierter Einreichungen, von denen laut Unternehmen die meisten ungültig sind.

Die Aussetzung betrifft jedoch nur einen Teil des Programms. Berichte über die Lieferkette bleiben weiterhin zulässig, und Google wird noch ausstehende Einreichungen weiterhin bearbeiten.

Das Unternehmen erklärt außerdem, dass die Änderung keine Berichte über Produktschwachstellen betrifft, die vor dem 1. Oktober 2026 eingereicht wurden.

Ungültige Berichte führen zu einer Überprüfung des Programms

Google führt die Aussetzung auf die Menge automatisierter Berichte zurück, die seine Sicherheitsteams erreichen. Die Ankündigung erfolgt vor dem Hintergrund wachsender Bedenken hinsichtlich minderwertiger, KI-generierter Schwachstellenberichte.

Obwohl automatisierte Tools Forschern dabei helfen können, Schwachstellen zu identifizieren, müssen ihre Ergebnisse weiterhin validiert werden. Eine große Zahl fehlerhafter Berichte kann daher die Arbeitsbelastung der Teams erhöhen, die potenzielle Sicherheitsprobleme überprüfen.

Google überarbeitet nun den Bereich des OSS VRP, der Produktschwachstellen betrifft. Das Unternehmen hat angekündigt, im ersten Quartal 2027 ein Update bereitzustellen, aber noch keinen Termin für die Wiederaufnahme bekannt gegeben.

Berichte über die Lieferkette bleiben weiterhin möglich

Google startete OSS VRP im August 2022 und bot Belohnungen zwischen 100 und 31.337 US-Dollar an. Das Programm konzentrierte sich auf Schwachstellen mit potenziell erheblichen Auswirkungen auf die Software-Lieferkette.

Der Umfang umfasste von Google gepflegte Projekte wie Go, Angular, Bazel, Protocol Buffers und Fuchsia sowie kritische Abhängigkeiten von Drittanbietern.

Das Programm deckte außerdem bestimmte Schwachstellen in Repositorys und Konfigurationen ab, darunter GitHub-Actions-Workflows und Zugriffskontrollen.

Trotz der aktuellen Einschränkung nimmt Google weiterhin OSS-VRP-Berichte zur Lieferkette entgegen. Die Ankündigung bedeutet daher weder die Einstellung des gesamten Programms noch der umfassenderen Bemühungen von Google im Bereich der Schwachstellenprämien.

Forscher können andere Prämienprogramme nutzen

Forschern stehen weiterhin alternative Möglichkeiten für qualifizierte Sicherheitsarbeit zur Verfügung.

Das Google Patch Rewards Program nimmt qualifizierte Sicherheitsverbesserungen für Open-Source-Software entgegen. Es bietet Zahlungen von bis zu 15.000 US-Dollar für Korrekturen mit erheblichen Auswirkungen.

Unterdessen können Forscher Schwachstellen in Open-Source-Repositorys von Google Cloud über Cloud VRP melden, wenn diese Probleme Cloud-Produkte betreffen.

Google ermutigt Forscher außerdem, qualifizierte Probleme im Rahmen seiner anderen Programme zu untersuchen. Einreichungen müssen jedoch die Anforderungen des jeweiligen Programms erfüllen.

Die umfassendere Google-Bug-Bounty-Initiative hat seit dem Start des ersten Programms für Schwachstellenprämien im Jahr 2010 mehr als 81,6 Millionen US-Dollar an Forscher ausgezahlt. Allein im Jahr 2025 vergab Google 17,1 Millionen US-Dollar an mehr als 700 Forscher.

Andere Sicherheitsprogramme stehen unter ähnlichem Druck

Googles Entscheidung folgt auf frühere Bedenken hinsichtlich KI-generierter Sicherheitsberichte in der gesamten Softwarebranche.

Im Januar beendete der Maintainer von curl das HackerOne-Bounty-Programm des Projekts, nachdem eine überwältigende Flut minderwertiger, KI-generierter Einreichungen eingegangen war.

Intel entfernte im September ebenfalls die finanziellen Belohnungen aus seinem Intigriti-Programm. Das Unternehmen hat diese Entscheidung jedoch nicht erklärt, sodass die Gründe weiterhin unklar sind.

Unabhängig davon hat Microsoft davor gewarnt, dass KI-gestützte Schwachstellensuche die operativen Anforderungen an Sicherheitsteams erhöhen kann.

Für Google besteht die unmittelbare Reaktion in einer gezielten Aussetzung, während das Unternehmen neu bewertet, wie automatisierte Einreichungen gehandhabt werden sollen. Berichte über die Lieferkette, bestehende Fälle und andere zulässige Prämienprogramme bleiben weiterhin verfügbar.