GitHub ändert sein Bug-Bounty-Programm, um KI-Meldungen zu bekämpfen. (Bild: Shutterstock/PJ McDonnell)
KI-Tools können dabei helfen, Schwachstellen in Software schneller aufzudecken. Die Programme haben aber auch dafür gesorgt, dass zahlreiche KI-generierte Meldungen eintrudeln, die keinerlei tatsächliche Fehler beinhalten. Schon Linux-Entwickler Linus Torvalds machte seinem Ärger über KI-generierte Fehlermeldungen Luft. Und ein Open-Source-Projekt musste sein Bug-Bounty-Programm komplett abstellen, weil es von den Meldungen überwältigt wurde. Jetzt zieht auch Github Konsequenzen aus der steigenden Zahl der KI-Berichte.
Github: So funktioniert das neue Bug-Bounty-Programm
In der Ankündigung zeigt Github, dass es künftig zwei verschiedene Stufen im Bug-Bounty-Programm gibt. Die Verantwortlichen führen zunächst ein VIP-Programm ein. Hierfür qualifizieren sich alle Bug-Jäger:innen, die „konsistent hochqualitative“ Berichte abgeben, die eine gravierende Auswirkung haben. Für VIPs gibt es mehrere Vorteile. Für einen Bug bekommen sie mehr Geld, können schneller mit GitHub-Entwickler:innen kommunizieren und arbeiten sogar eng mit ihnen für Lösungen zusammen.
Schwachstellen mit einem geringen Gefahrenfaktor bringen VIPs schon 1.000 US-Dollar. Mit steigendem Risiko für die Plattform, steigt auch die Belohnung an. Für kritische Sicherheitslücken verspricht GitHub Beträge ab 30.000 Dollar. Um sich als VIP zu qualifizieren, müssen Bug-Jäger:innen eine bestimmte Anzahl an Fehlern gefunden haben. Dabei reicht schon eine kritische Sicherheitslücke, zwei mit einem hohen Gefahren-Score, für mit einem mittleren Risiko oder sieben Bugs mit niedrigem Score.
Top-Artikel
${content}
${custom_anzeige-badge}
${custom_tr-badge}
${section}
Daneben steht das öffentliche Programm für alle Bug-Jäger:innen. Hier passt Github die Belohnungen nach unten an, um Qualität über Quantität zu priorisieren. Geringfügige Schwachstellen bringen den Bug-Huntern jetzt noch 250 Dollar ein. Zuvor waren es zwischen 617 und 2.000 Dollar. Für kritische Lücken gibt es jetzt noch maximal 10.000 Dollar. Hier hatte Github zuvor 20.000 bis 30.000 Dollar angesetzt.
Ebenfalls relevant für alle künftigen Bug-Jäger:innen: Wer bislang noch keine Berichte eingereicht hat, kann künftig maximal vier Bugs melden. Die Begrenzung realisiert Github – wie schon die Zulassung für das VIP-Programm – über die Plattform Hackerone. GithHub schreibt dazu: „Das ist keine Wand für neue Forscher. Die Plattform von Hackerone gibt Forschern, die die Anforderungen nicht erfüllen, vier anfängliche Einreichungen, was genug für Neulinge ist, um echte Funde und ihre Fertigkeiten zu präsentieren.“ Erst wer sich beweist, darf künftig mehr Fehler melden.
Empfohlene redaktionelle Inhalte
Hier findest du externe Inhalte von TargetVideo GmbH,
die unser redaktionelles Angebot auf t3n.de ergänzen.
Mit dem Klick auf „Inhalte anzeigen“ erklärst du dich einverstanden,
dass wir dir jetzt und in Zukunft Inhalte von TargetVideo GmbH auf unseren Seiten anzeigen dürfen.
Dabei können personenbezogene Daten an Plattformen von Drittanbietern übermittelt werden.
Inhalte anzeigen
Leider ist etwas schief gelaufen…
An dieser Stelle findest du normalerweise externe Inhalte von TargetVideo GmbH,
jedoch konnten wir deine Consent-Einstellungen nicht abrufen.
Lade die Seite neu oder passe deine Consent-Einstellungen manuell an.
Datenschutzeinstellungen verwalten
Die schlimmsten Security-Patzer
Von sinnfreien Sicherheitsfragen bis zu unsicheren Passwörtern: Die dümmsten Security-Patzer
