Ihr Bounty-Budget kauft KI-Müll

Stenberg entfernte das Geld, nicht die Maschinen

Daniel Stenberg beendete die Bug Bounty von curl wegen dessen, was das Geld anzog, nicht wegen dessen, was die Meldungen schrieb. Am 31. Januar 2026 stellte er ein Programm ein, das seit April 2019 lief, 87 echte Schwachstellen bestätigt und über 100.000 US-Dollar ausgezahlt hatte. Der Grund war ein Einbruch der Trefferquote. Vor 2024 erwiesen sich mehr als 15 Prozent der Einsendungen als echte Sicherheitsprobleme. Im Laufe von 2025 fiel dieser Wert unter 5 Prozent, was, wie Stenberg es formulierte, bedeutete, dass nicht einmal eine von zwanzig echt war. Ein ehrenamtliches Team von sieben Personen verbrachte Stunden damit, jede einzelne zu widerlegen, eine Arbeit, die er als ernsthaft zermürbend beschrieb.

Seine eigene Begründung lohnt eine genaue Lektüre. Das Hauptziel der Schließung sei es, den Anreiz zu beseitigen, schlecht recherchierten Unsinn einzusenden, schrieb er. Man beachte, was dieser Satz nicht sagt. Er nennt keine Technologie und schlägt nicht vor, eine zu erkennen. Er benennt eine Auszahlung als das, was schlechte Arbeit belohnt, und schafft die Auszahlung ab. Sein Maßstab für Meldende ist genauso werkzeugunabhängig: Man sollte eine Schwachstelle niemals melden, solange man sie nicht wirklich versteht und reproduzieren kann.

Die Menge verdoppelte sich, die Trefferquote verdreifachte sich

Das Ergebnis lief der naheliegenden Prognose genau entgegen. Das Ende der Bezahlung leerte die Warteschlange nicht. Bis April 2026, nachdem curl zur unbezahlten Meldung zurückgekehrt war, trafen die Einsendungen in etwa doppelt so hoher Zahl ein wie 2025, und 15 bis 16 Prozent davon wurden als echte Schwachstellen bestätigt. Die Zahl der bestätigten Funde übertraf das Niveau von 2024, also die Zeit vor der Flut.

Das wichtigste Detail klingt wie ein Widerspruch. Nahezu jede Meldung wirkte weiterhin KI-gestützt. Geändert hatte sich, dass die meisten davon nun gut waren. Das Problem mit dem Müll sei keines mehr, berichtete Stenberg im April. Das Werkzeug verschwand nicht aus der Warteschlange. Der Müll verschwand.

Als Steuerungsproblem gelesen war die Prämie ein Filter, der auf das falsche Ziel gerichtet war. Eine Geldprämie für einen angenommenen Fund zahlt sich nach Einsendemenge mal Glück aus und belohnt daher schnelles, hoffnungsvolles Senden statt vorheriger Prüfung. Dieser Druck bestand schon vor generativen Modellen und war lediglich erträglich; billige Erzeugung machte ihn tödlich. Das Ausmaß zeigt sich auch anderswo. Bei Bugcrowd stieg das Meldeaufkommen im März binnen drei Wochen um mehr als das Vierfache. HackerOne verzeichnete bis März einen Anstieg der Einsendungen um 76 Prozent gegenüber dem Vorjahr, wobei der Anteil echter Schwachstellen auf dieser Plattform stabil bei rund 25 Prozent blieb, was die Vorstellung relativiert, alle Warteschlangen seien gleichzeitig zusammengebrochen.

Verboten hat es in Wahrheit niemand

Die einzige Erhebung, die nachgezählt hat, fand null vollständige Verbote. Eine vollständig ausgezählte Untersuchung von 53 Meldeprogrammen, darunter vier Koordinationsplattformen, 20 Hersteller und 29 Open-Source-Projekte, wurde am 28. Juli 2026 abgerufen. Nicht ein einziges verbietet KI-geschriebene Fehlermeldungen rundheraus. Die vielfach wiederholte Behauptung, die Branche habe sie verboten, beschreibt eine Regel, die kein Programm der Stichprobe je aufgeschrieben hat.

Die tatsächliche Verteilung ist weniger dramatisch und nützlicher. 36 Programme, also 67,9 Prozent, sagen in ihren veröffentlichten Richtlinien gar nichts zu KI. Sechzehn, also 30,2 Prozent, regeln sie mit Bedingungen. Von diesen sechzehn verlangen dreizehn eine menschliche Überprüfung des Fundes, elf einen funktionierenden Reproduktionsweg, acht lehnen rein autonome Einsendungen ab und erlauben KI-Unterstützung weiterhin, und drei verlangen die Offenlegung des KI-Einsatzes: Intigriti, Django und FFmpeg. Menschliche Prüfung, nicht Verbot, ist der Standard, auf den alle zulaufen.

Die Erhebung fand außerdem einen Mangel, den man sich notieren sollte. Drei Programme veröffentlichten ihre KI-Regeln anderswo als auf ihrer eigentlichen Richtlinienseite. Eine Bedingung, die die meldende Person nie gesehen und der sie nie zugestimmt hat, lässt sich ihr gegenüber nicht durchsetzen, womit aus einer geschriebenen Regel Dekoration wird. Auch die Programme, die ihren Status änderten, verboten nichts: curl schloss seine Bounty im Januar 2026, Nextcloud setzte bezahlte Prämien im April aus, und die Internet Bug Bounty pausierte Einsendungen.

Apple und GitHub nahmen sich die Person vor

Apples Richtlinien knüpfen die Sanktion inzwischen an das Ansehen der meldenden Person, nicht an die Meldung. Apple stellt unmissverständlich fest, dass viele Meldungen eingehen, die angeblich schwerwiegende Sicherheits- oder Datenschutzprobleme betreffen, tatsächlich aber von Sprachmodellen erzeugt und ohne den erforderlichen Nachweis oder eine Prüfung durch einen Menschen eingereicht wurden. Das Mittel dagegen ist eine Aussetzung. Wer wiederholt unzulässige Meldungen einreicht, darunter undurchführbare zu theoretischen Problemen oder solche, die von KI ohne ordentliche Validierung gefunden wurden, dessen Meldungen kann Apple 180 Tage lang liegen lassen. Bei mehr als zwei solcher Sperren droht der dauerhafte Ausschluss aus dem Programm.

Die zweite Hälfte dieser Sanktion wiegt schwerer. Während einer Sperre ist die betroffene Person nicht nur von Zahlungen ausgeschlossen, sondern auch von der Nennung in Sicherheitshinweisen, und für professionelle Sicherheitsforschung ist öffentliche Nennung die dauerhafte Währung. Apples Nutzungsbedingungen kommen von der anderen Seite zum selben Punkt und untersagen ein anhaltendes, wiederholtes oder mengenstarkes Muster falscher Behauptungen, etwa Meldungen, die mit Hilfe von KI erzeugt und nicht durch menschliche Prüfung validiert wurden. Entscheidend ist der letzte Halbsatz. Die Klausel verbietet nicht die Unterstützung, sie verbietet das ungeprüfte Ausliefern des Ergebnisses.

GitHub wählte den anderen Weg über die Identität und teilte das Programm zum 27. Juli 2026 in zwei Stufen. Die öffentlichen Prämien sanken auf 250 US-Dollar für einen Fund geringer Schwere, 2.000 für mittlere, 5.000 für hohe und 10.000 für kritische, zuvor waren es 500 bis 1.000, 5.000, 20.000 und 30.000. Die alten Sätze gelten nun in einer Stufe, zu der man eingeladen wird und die 1.000, 7.500, 20.000 sowie 30.000 US-Dollar und mehr zahlt. Der Zugang setzt eine belegte Bilanz voraus: ein angenommener kritischer Fund, oder zwei hohe, oder vier mittlere, oder sieben geringe. Neue Meldende im öffentlichen Programm unterliegen einer Signalanforderung mit bis zu vier ersten Einsendungen, um sich zu bewähren. Erklärtes Ziel der Produktsicherheitsingenieurin Catherine Cassell ist es, das Rauschen zu senken, damit sich das Team auf das Signal konzentrieren kann.

Wer ausgebremst wird, könnte der Entscheidende sein

Reputationsschranken haben einen Preis, den keine dieser Ankündigungen beziffert. Jede dieser Konstruktionen belohnt eine vorhandene Bilanz, was eine vernünftige Art ist, Vielmelder zu sortieren. Doch wer einen einzigen kritischen Fehler in Ihrem Produkt findet und zuvor nirgends je eine Meldung eingereicht hat, ist per Definition genau das Profil ohne jede Bilanz, und das ist die Meldung, die Sie am wenigsten ausbremsen wollen. GitHubs Antwort sind vier Einsendungen zum Nachweis des Signals, Apples ist ein Status, der ein halbes Jahr ruhen kann. Beides ist vertretbar, umsonst ist keines von beiden, und die Kosten treffen genau die einmalige Finderin, deren einzelne Meldung die wertvollste des Jahres sein könnte.

Für einen europäischen Hersteller endet die philosophische Phase dieser Frage am 11. September 2026, wenn die Meldepflichten des Cyber Resilience Act zu greifen beginnen. Ein Hersteller, der Kenntnis davon erlangt, dass eine Schwachstelle in seinem Produkt aktiv ausgenutzt wird, muss die ENISA und das zuständige nationale CSIRT binnen 24 Stunden benachrichtigen, binnen 72 Stunden eine ausführlichere Bewertung liefern und binnen 14 Tagen nach Verfügbarkeit einer Abhilfemaßnahme einen Abschlussbericht vorlegen. In Deutschland ist die zuständige Stelle das BSI mit CERT-Bund. Die Verordnung verlangt zudem eine Richtlinie zur koordinierten Offenlegung von Schwachstellen, also einen geordneten Weg, auf dem Ihnen jemand etwas mitteilen kann, bevor die Einzelheiten öffentlich werden. Liest man die Frist genau, wird aus dem Eingangsproblem ein Compliance-Problem. Die Uhr läuft ab Kenntnis, und eine mit ungeprüften Meldungen verstopfte Warteschlange ist eine Maschine zur Verzögerung genau dieser Kenntnis.

Daraus folgen drei Dinge für jeden, der einen solchen Eingang betreibt. Verlangen Sie einen funktionierenden Reproduktionsweg und schreiben Sie das auf die Seite, der die meldende Person zustimmt, denn eine Reproduktion ist beweisbar, eine Behauptung über das verwendete Werkzeug nicht. Reparieren Sie den Anreiz, bevor Sie eine Regel schreiben, denn curls Warteschlange verbesserte sich, als die Auszahlung wegfiel, nicht als sich eine Richtlinie änderte. Und messen Sie die Quote bestätigter Funde statt der Zahl der Meldungen, denn die Menge ist genau der Wert, der in dem einen Fall stieg, in dem alles besser wurde. Nichts im Cyber Resilience Act verpflichtet Sie, auch nur eine meldende Person zu bezahlen. Er verpflichtet Sie, erreichbar zu sein und eine echte Meldung schnell genug von einer plausiblen zu unterscheiden, um die Frist rechtzeitig zu starten.

Weiterlesen: Siri AI bekam einen Preis vor einem EU-Termin  |  Apples Services-Umsatz schrumpfte zum Vorquartal