Künstliche Intelligenz revolutioniert die Cybersicherheit – allerdings nicht nur im positiven Sinne. Während Entwickler und Unternehmen darauf hoffen, mithilfe von KI-Modellen Softwareschwachstellen schneller als je zuvor aufzuspüren, zeigt sich nun die Kehrseite dieser technologischen Demokratisierung. Google sah sich gezwungen, sein bekanntes Open-Source Software Vulnerability Rewards Program (OSS VRP) vorübergehend komplett einzustellen. Der Grund für diesen drastischen Schritt ist eine regelrechte Schlammlawine aus automatisierten und qualitativ minderwertigen Fehlermeldungen, die das System zur Bewertung der eingereichten Lücken schlichtweg lahmgelegt hat.

Wenn Quantität die Qualität erstickt

Wie das Portal it-boltwise.de berichtet, wurde das Programm zum 1. Oktober vorerst auf Eis gelegt. Die Verantwortlichen reagierten damit auf einen sprunghaften Anstieg von Einreichungen, die größtenteils mithilfe von KI-Werkzeugen generiert wurden. Das Problem dabei: Die schiere Masse an Meldungen ging mit einer extrem niedrigen Erfolgsquote einher. Ein Großteil der automatisiert erstellten Berichte entpuppte sich bei der Überprüfung als völlig haltlos oder schlichtweg unbrauchbar. Für die menschlichen Analysten bei Google bedeutete dies eine enorme Belastung, da jede einzelne Meldung – unabhängig von ihrer Entstehungsweise – sorgfältig geprüft werden muss, um echte Bedrohungen nicht zu übersehen.

Diese Entwicklung verdeutlicht ein strukturelles Problem moderner Bug-Bounty-Programme. Die Hürde für die Teilnahme an solchen Belohnungssystemen ist durch den einfachen Zugang zu Large Language Models (LLMs) massiv gesunken. Sogenannte 'Sicherheitsforscher' nutzen KI-Prompts, um Code automatisiert nach vermeintlichen Mustern abzusuchen und die Berichte ohne tiefere manuelle Verifizierung abzusenden. In der Hoffnung auf schnelles Geld durch Masse statt Klasse wird die Infrastruktur der Empfänger überlastet. Was als Werkzeug zur Effizienzsteigerung gedacht war, mutiert so zu einem Denial-of-Service-Angriff auf die internen Prüfprozesse von Technologiekonzernen.

Lange Pause und die Suche nach neuen Filtern

Die Pause ist keine kurzfristige Maßnahme für wenige Wochen. Google plant, das Programm bis weit ins nächste Jahr hinein ruhen zu lassen. Ein umfassendes Update und die eventuelle Wiederaufnahme des Programms sind erst für das erste Quartal 2027 angekündigt. Diese lange Zeitspanne zeigt, wie tiefgreifend die notwendigen Veränderungen an den Bewertungsmechanismen sein müssen. Google steht vor der Herausforderung, automatisierte Filtersysteme zu entwickeln, die KI-generierten Spam bereits im Ansatz erkennen und aussortieren, ohne dabei legitime, von Menschen mühsam gefundene Schwachstellen zu blockieren. Wer in der Zwischenzeit nach Fehlern suchen möchte, muss auf andere Bug-Bounty-Programme des Konzerns ausweichen, die von dieser spezifischen Pause nicht betroffen sind.

Fazit einer verfrühten Euphorie

Der Fall zeigt eindringlich, dass die Integration von KI in sensible Prozesse ein zweischneidiges Schwert bleibt. Solange es keine zuverlässigen, automatisierten Methoden gibt, um den Wahrheitsgehalt und die Relevanz von KI-generierten Inhalten zu prüfen, bleibt der Faktor Mensch das Nadelöhr. Die vorübergehende Abschaltung des Google-Programms ist ein Warnsignal für die gesamte IT-Sicherheitsbranche, die ihre Annahmen über die Skalierbarkeit von Crowdsourced Security dringend überdenken muss.