Github reagiert auf KI-Flut: Hohe Bug-Bounty-Prämien bald nur noch für VIPs - Golem.de

Posted on in technology

Github überarbeitet sein Bug-Bounty-Programm. Wer sich nur auf KI verlässt und sich wenig Mühe gibt, bekommt künftig geringere Prämien.

24. Juli 2026 um 13:13 Uhr / Marc Stöckel

Github zahlt Neulingen bald geringere Bug-Bounty-Prämien. (Bild: pexels.com / Willfried Wende)

Github zahlt Neulingen bald geringere Bug-Bounty-Prämien. Bild: pexels.com / Willfried Wende

Schon Ende Juni zeigte sich Github überfordert mit der großen Menge an Bug-Reports, die bei dem Unternehmen mittlerweile aufgrund des Einsatzes moderner KI-Tools in der Schwachstellenforschung eintreffen. Jetzt hat der Plattformbetreiber sein Bug-Bounty-Programm überarbeitet, um dieser Entwicklung zu begegnen. Viele Forscher erhalten damit künftig geringere Prämien. Doch das trifft nicht auf alle zu.

Wie Github in einer Ankündigung(öffnet im neuen Fenster) schildert, will das Unternehmen in Zukunft vor allem jene Sicherheitsforscher belohnen, die wiederholt besonders hochwertige Berichte einreichen und sich bei der Koordination als entsprechend kompetent erweisen.

Forscher in dieser Kategorie können auf Basis einer Einladung einem VIP-Programm beitreten und profitieren daraufhin von höheren Prämien, schnelleren Reaktionszeiten und einer engeren Zusammenarbeit mit dem Security-Team von Github. Die Auszahlungen richten sich wie gewohnt nach dem Schweregrad der jeweiligen Funde:

Neulinge müssen sich erst beweisen

Damit bleiben die Auszahlungen für VIP-Forscher auf ähnlich hohem Niveau wie vor der Änderung. Wer nicht zum VIP-Kreis gehört, muss hingegen mit deutlich geringeren Auszahlungen rechnen. Für gemeldete Lücken gibt es dann 10.000 US-Dollar bei kritischem, 5.000 US-Dollar bei hohem, 2.000 US-Dollar bei mittlerem und 250 US-Dollar bei niedrigem Schweregrad.

Um sich für das VIP-Programm zu qualifizieren, müssen Forscher vorab mindestens eine kritische, zwei hochschwere, vier mittelschwere oder sieben geringfügige Lücken gemeldet haben. Zudem wird die Anzahl der noch nicht abgeschlossenen Fälle, die neue Forscher einreichen dürfen, auf vier begrenzt. Das soll verhindern, dass Neulinge das Programm mit KI-Meldungen fluten, ihnen aber zugleich genug Spielraum gewähren, um ihre Kompetenz unter Beweis stellen zu können.

Github will das Rauschen reduzieren

"Die wesentliche Veränderung liegt hier in der Art der Anreize: Man verdient nicht mehr, indem man mehr Meldungen einreicht. Man verdient mehr, indem man bessere Meldungen einreicht", erklärt Github. Das Unternehmen will mit seiner Änderung nach eigenen Angaben "das Rauschen reduzieren", um sich "auf das Signal konzentrieren" und Forschern ein Programm bieten zu können, "an dem sie gerne teilnehmen".

Die neuen Regeln greifen ab dem 27. Juli. Vor diesem Datum eingereichte Meldungen werden noch nach dem alten Regelwerk verarbeitet und vergütet. Nähere Details zu Githubs Bug-Bounty-Programm sind auf Hackerone zu finden(öffnet im neuen Fenster).

Andere Softwareprojekte sind ebenfalls zunehmend von massenhaft eingereichten KI-Bug-Reports überfordert. Teilweise haben diese ihre Bug-Bounty-Programme in den letzten Monaten eingestellt oder pausiert, um die Anreize zu verringern und die Entwicklerteams zu entlasten.