Im Kampf gegen KI-Flut: Github strukturiert Bug-Bounty-Programm um

Ein neues Regelwerk gegen die KI-Schwemme

Die zunehmende Nutzung von KI-gestützten Tools in der Softwareentwicklung hat eine Kehrseite: Plattformen sehen sich mit einer Masse an automatisierten Fehlermeldungen konfrontiert, die oft keinen echten Sicherheitswert bieten. Auch GitHub, eine der weltweit wichtigsten Anlaufstellen für Entwickler, zieht nun Konsequenzen aus dieser Entwicklung. Um die Qualität der eingereichten Berichte zu sichern und die eigenen Sicherheitsteams zu entlasten, wurde das bestehende Bug-Bounty-Programm grundlegend reformiert.

Die Problematik ist in der Branche bekannt. Während KI-Werkzeuge das Potenzial haben, Schwachstellen effizient aufzuspüren, führen sie ebenso zu einer Flut an sogenannten „False Positives“ oder inhaltlich wertlosen Berichten. Bekannte Entwickler wie Linus Torvalds äußerten bereits deutliche Kritik an dieser Entwicklung. Einige Open-Source-Projekte sahen sich sogar gezwungen, ihre Bug-Bounty-Programme aufgrund der Überlastung durch KI-generierte Meldungen vollständig einzustellen.

Das VIP-Programm: Fokus auf Qualität und Expertise

Um zwischen erfahrenen Sicherheitsforschern und der Masse an automatisierten Einreichungen zu unterscheiden, führt GitHub ein zweistufiges Modell ein. Im Zentrum steht dabei das neue VIP-Programm. Dieses richtet sich gezielt an Bug-Jäger, die durch eine konsistente Historie an hochwertigen und sicherheitsrelevanten Berichten überzeugt haben.

Teilnehmer des VIP-Programms profitieren von exklusiven Vorteilen:

* **Höhere Vergütungen:** Die Prämien für VIPs liegen deutlich über dem Standard. So starten Belohnungen für Schwachstellen mit geringem Risiko bei 1.000 US-Dollar, während kritische Sicherheitslücken mit mindestens 30.000 US-Dollar honoriert werden.

* **Direkte Kommunikation:** VIPs erhalten einen privilegierten Kanal zu den GitHub-Entwicklern, was eine schnellere Abstimmung und eine effizientere Behebung der Sicherheitslücken ermöglicht.

Um den VIP-Status zu erlangen, müssen Sicherheitsforscher eine bestimmte Anzahl an validen Funden nachweisen. Die Anforderungen sind dabei gestaffelt: Eine einzelne kritische Lücke genügt bereits für die Qualifikation, ebenso wie zwei Lücken mit hohem Risiko, vier mit mittlerem oder sieben mit niedrigem Gefahrenpotenzial.

Anpassungen im öffentlichen Programm

Parallel zum VIP-Modell bleibt das öffentliche Programm für alle Interessierten bestehen. Hier hat GitHub jedoch die Vergütungsstruktur angepasst, um den Anreiz für minderwertige oder massenhaft generierte Berichte zu senken. Die Prämien wurden spürbar reduziert: Für geringfügige Schwachstellen werden nun 250 US-Dollar gezahlt, während kritische Lücken im öffentlichen Bereich mit maximal 10.000 US-Dollar vergütet werden. Zum Vergleich: Zuvor lagen die Sätze für kritische Fehler noch zwischen 20.000 und 30.000 US-Dollar.

Neue Hürden für Einsteiger

Ein weiterer zentraler Punkt der Reform betrifft die Anzahl der Einreichungen. Wer bisher noch keine Berichte bei GitHub eingereicht hat, unterliegt nun einer Beschränkung auf maximal vier Fehlermeldungen. Diese Maßnahme wird über die Plattform Hackerone technisch umgesetzt.

GitHub betont, dass diese Regelung keineswegs ein Ausschlusskriterium für neue Talente darstellt. Vielmehr soll sie sicherstellen, dass Einsteiger ihre Fähigkeiten gezielt unter Beweis stellen. Die vier Einreichungen bieten ausreichend Raum, um die eigene Arbeitsweise zu demonstrieren. Wer durch diese ersten Berichte überzeugt, erhält die Möglichkeit, weitere Meldungen einzureichen. Ziel ist es, die Plattform vor einer Überflutung durch automatisierte Skripte zu schützen und gleichzeitig engagierten Sicherheitsforschern weiterhin einen Einstieg zu ermöglichen.