Google stoppt OSS-VRP-Meldungen bis 2027 wegen fehlerhafter Berichte durch künstliche Intelligenz

Google hat im Rahmen seines Open Source Software Vulnerability Reward Program (OSS VRP), das zur Meldung von Sicherheitslücken in Open-Source-Software dient, die Annahme neuer Produkt-Sicherheitsberichte vorübergehend ausgesetzt.

Das Unternehmen gab bekannt, dass seit dem 1. Oktober 2026 keine neuen Berichte in dieser Kategorie mehr angenommen werden. Es ist geplant, das Programm bis zum ersten Quartal 2027 neu zu strukturieren und nach Abschluss dieses Prozesses eine neue Ankündigung zu machen.

Hintergrund der Entscheidung ist die hohe Anzahl fehlerhafter Sicherheitsmeldungen, die mit generativen KI-Tools erstellt wurden. Es wird darauf hingewiesen, dass ein Teil dieser Berichte Schwachstellen enthält, die in der Realität gar nicht existieren, während die Sicherheitsteams gezwungen sind, jede Meldung einzeln zu prüfen.

WELCHE MELDUNGEN SIND BETROFFEN?

Die Stopp-Entscheidung gilt ausschließlich für Produkt-Sicherheitsmeldungen im Rahmen des OSS VRP. Berichte, die vor dem 1. Oktober eingereicht wurden, sollen weiterhin im bestehenden Prozess bewertet werden.

Meldungen im Rahmen des Google Cloud Vulnerability Reward Program sowie Berichte zur Lieferkette im OSS VRP sind von dieser Änderung nicht betroffen. Sicherheitsprobleme in einigen Open-Source-Repositories, die Google Cloud-Produkte betreffen, können weiterhin über das Cloud VRP gemeldet werden.

Das OSS VRP ermutigt unabhängige Sicherheitsforscher dazu, Schwachstellen in Googles Open-Source-Projekten zu identifizieren und dem Unternehmen zu melden. Für gültige Berichte, die die Programmanforderungen erfüllen, können Belohnungen vergeben werden.

Die zunehmende Nutzung von KI-Tools bei der Code-Analyse und Berichterstellung hat jedoch dazu geführt, dass in kurzer Zeit eine große Anzahl von Meldungen generiert wurde. Obwohl einige KI-gestützte Berichte valide Befunde und Lösungsvorschläge enthalten, hat die Zunahme fehlerhafter Meldungen den Betrieb des Programms erschwert.

Google wird die Forscher in diesem Zeitraum auf andere Sicherheits-Belohnungsprogramme verweisen. Es wird berichtet, dass das Unternehmen Meldungen über das Patch Rewards Program und gegebenenfalls über das Cloud VRP empfiehlt. Wenn das Programm wiedereröffnet wird, könnten auch einige Regeln, einschließlich des Belohnungssystems, geändert werden.

Nachrichtenquelle: 12punto