Github reagiert auf KI-Flut: Hohe Bug-Bounty-Prämien bald nur noch für VIPs

Ein neues Zeitalter der Schwachstellenanalyse

Die zunehmende Verbreitung von KI-gestützten Werkzeugen in der IT-Sicherheit hat die Arbeitsweise von Plattformbetreibern wie GitHub grundlegend verändert. Während automatisierte Tools die Suche nach Sicherheitslücken beschleunigen, führen sie gleichzeitig zu einer Flut an Meldungen, die die Kapazitäten der Sicherheitsteams übersteigen. Um dieser Entwicklung entgegenzuwirken, hat GitHub eine umfassende Überarbeitung seines Bug-Bounty-Programms angekündigt.

Fokus auf Qualität statt Quantität

Das Ziel der Neuausrichtung ist es, das sogenannte „Rauschen“ in den eingereichten Berichten zu minimieren. GitHub betont, dass der Fokus künftig stärker auf der Qualität der eingereichten Funde liegen soll. Anreize werden nicht mehr durch die bloße Masse an Meldungen geschaffen, sondern durch die Präzision und Relevanz der entdeckten Schwachstellen. Damit reagiert das Unternehmen auf eine Herausforderung, die derzeit die gesamte Branche betrifft: Viele Softwareprojekte sehen sich mit einer derartigen Menge an KI-generierten Reports konfrontiert, dass einige Anbieter ihre Programme bereits pausieren oder komplett einstellen mussten.

Das neue VIP-Modell für Experten

Herzstück der Reform ist die Einführung eines VIP-Status für Sicherheitsforscher. Wer sich durch wiederholte, hochwertige Berichte und eine kompetente Koordination auszeichnet, erhält Zugang zu einem exklusiven Programm. Diese Experten profitieren von:

* Höheren Prämien, die dem bisherigen Niveau entsprechen.

* Schnelleren Reaktionszeiten bei der Bearbeitung ihrer Meldungen.

* Einer engeren Zusammenarbeit mit dem internen Security-Team von GitHub.

Die Vergütung für VIP-Forscher bleibt attraktiv: Kritische Lücken werden mit 30.000 US-Dollar oder mehr vergütet, hohe Schweregrade mit 20.000 US-Dollar, mittlere mit 7.500 US-Dollar und niedrige mit 1.000 US-Dollar.

Hürden für Neulinge

Wer noch keinen VIP-Status besitzt, muss sich diesen erst erarbeiten. Für Forscher, die noch nicht in den VIP-Kreis aufgenommen wurden, gelten deutlich reduzierte Prämienstrukturen:

* Kritisch: 10.000 US-Dollar

* Hoch: 5.000 US-Dollar

* Mittel: 2.000 US-Dollar

* Niedrig: 250 US-Dollar

Um den Status eines VIP-Forschers zu erreichen, müssen bestimmte Kriterien erfüllt sein. Gefordert ist der Nachweis über mindestens eine kritische, zwei hochschwere, vier mittelschwere oder sieben geringfügige Lücken. Zudem hat GitHub die Anzahl der gleichzeitig offenen Fälle für neue Forscher auf vier begrenzt. Diese Maßnahme soll verhindern, dass das Programm mit einer unkontrollierten Menge an KI-generierten Meldungen überlastet wird, während Neulingen dennoch die Möglichkeit gegeben wird, ihre Fähigkeiten unter Beweis zu stellen.

Übergangsphase und Ausblick

Die neuen Regelungen treten am 27. Juli in Kraft. Meldungen, die vor diesem Stichtag eingereicht wurden, unterliegen noch dem alten Vergütungssystem. Mit diesem Schritt versucht GitHub, eine Balance zwischen der notwendigen Offenheit für die Sicherheits-Community und der operativen Effizienz seines Teams zu finden. Es bleibt abzuwarten, ob dieser Ansatz Schule macht und andere Plattformen dazu bewegt, ihre Anreizsysteme ähnlich zu strukturieren, um der KI-gestützten Flut an Sicherheitsberichten Herr zu werden.