Thought Leadership
GitHub halbiert die Prämien seines öffentlichen Bug-Bounty-Programms. Höhere Preisgelder erhalten künftig nur noch Forscher im exklusiven VIP-Bereich.
Die Entwicklerplattform GitHub reduziert ab dem 27. Juli 2026 die Auszahlungen in ihrem öffentlichen Bug-Bounty-Programm bei allen Schweregraden um mindestens die Hälfte. Für kritische Sicherheitslücken sinkt die feste Prämie im öffentlichen Programm von zuvor 20.000 bis über 30.000 US-Dollar auf 10.000 US-Dollar. Für hohe Schweregrade werden künftig 5.000 US-Dollar statt 10.000 bis 20.000 US-Dollar gezahlt. Mittlere Schweregrade werden mit 2.000 US-Dollar und geringe mit 250 US-Dollar vergütet. Gleichzeitig führt das Unternehmen einen exklusiven VIP-Bereich auf Einladungsbasis ein, in dem für kritische Schwachstellen Prämien ab 30.000 US-Dollar gezahlt werden. Ziel der Maßnahme ist es, die Zahl qualitativ minderwertiger Einreichungen zu senken und etablierten Sicherheitsforschern eine schnellere Bearbeitung zu bieten. GitHub begründete die Umstellung folgendermaßen:
„Man verdient nicht mehr, indem man mehr einreicht. Man verdient mehr, indem man bessere Berichte einreicht.“
GitHub
Kriterien für den Zugang zum geschlossenen VIP-Programm
Um eine Qualifikation für das geschlossene VIP-Programm zu erreichen, müssen Sicherheitsforscher im öffentlichen Programm eine bestimmte Anzahl verifizierter Schwachstellen nachweisen. Erforderlich ist die Meldung von mindestens einer kritischen, zwei hohen, vier mittleren oder sieben niedrigen Sicherheitslücken. Im VIP-Tarif betragen die festen Auszahlungen 1.000 US-Dollar für niedrige, 7.500 US-Dollar für mittlere, 20.000 US-Dollar für hohe und mindestens 30.000 US-Dollar für kritische Schwachstellen. Berichte, die vor dem Stichtag am 27. Juli 2026 eingereicht wurden, werden noch nach den bisherigen Bestimmungen vergütet.
Auswirkungen von KI-Werkzeugen auf die Berichtskontrolle und Bearbeitung
Die Anpassungen der Prämienstrukturen erfolgen vor dem Hintergrund einer steigenden Nutzung von KI-Werkzeugen bei der Identifizierung potenzieller Softwarefehler. Während automatisierte Systeme die Erzeugung von Kandidatenberichten vereinfachen, führt dies bei Plattformbetreibern zu einem erhöhten Prüfaufwand. GitHub betont, dass der Einsatz von KI-Unterstützung bei der Recherche weiterhin zulässig ist, die Verantwortung für die Reproduzierbarkeit und Verifizierung jedoch vollständig bei den Einreichenden liegt. Das Unternehmen nahm zur Rolle von Hilfsmitteln wie folgt Stellung: „Die Werkzeuge spielen keine Rolle. Die Qualität der Arbeit tut es.“
Parallel setzen auch interne Sicherheitsteams verstärkt auf automatisierte Werkzeuge und KI-Modelle zur Quelltextanalyse, um Schwachstellen bereits während des Entwicklungsprozesses zu identifizieren und zu beheben.
(red)
