LONDON (IT BOLTWISE) – Google hat zum 1. Oktober 2026 die Annahme von Produkt-Vulnerability-Reports über sein OSS-Bug-Bounty-Programm gestoppt. Betroffen sind damit Meldungen zu Sicherheitslücken in Open-Source-Projekten wie Go, Angular und Protocol Buffers, die bisher im Rahmen des OSS VRP auf Geldprämien geprüft wurden. Der Konzern begründet den Schritt mit einem starken Anstieg automatisierter Einreichungen, von denen die überwiegende Zahl nicht gültig ist. Für Zulieferkettensabotage (Supply-Chain) und andere Programmkategorien bleibt der Meldeweg hingegen bestehen.
Google zieht die Bremse bei seinem Open-Source-Bug-Bounty und schränkt gleichzeitig die Art der Meldungen ein: Seit dem 1. Oktober 2026 akzeptiert das Unternehmen über das Open Source Software Vulnerability Reward Program (OSS VRP) keine Produkt-Vulnerability-Reports mehr, die auf Belohnungen zielen. Praktisch heißt das für Sicherheitsforscher, dass sie keine Schwachstellen mehr im Code der gelisteten Projekte wie Go, Angular und Protocol Buffers einreichen können, wenn es dabei um eine „Product vulnerability“ nach den Programmregeln geht. Die Sperre gilt ab dem Stichtag, während Berichte, die vor dem 1. Oktober eingereicht wurden, weiterhin nicht betroffen sind.
Der Hintergrund ist ein Qualitätsproblem, das in vielen Security-Programme inzwischen strukturell auftaucht: Google verweist in einem Beitrag auf X auf einen „significant rise in automated submissions“, bei dem „the vast majority“ nicht gültig gewesen seien. Konkrete Zahlen nennt der Beitrag nicht; ebenso bleibt offen, ob die automatisierten Einreichungen über KI-Tools erzeugt wurden oder ob andere Automatisierungsskripte im Spiel waren. Für Unternehmen und Security-Teams ist das dennoch relevant, weil solche Mengen an Fehlmeldungen die Triagierungs- und Verifikationsschritte belasten – und damit die tatsächliche Lücke zwischen „viele Reports“ und „verifizierte Fixes“ vergrößern.
Technisch setzt das OSS VRP an einem recht klar definierten Vulnerability-Begriff an: Eine Produktlücke ist demnach ein Design- oder Implementierungsfehler in der Open-Source-Software von Google, der die Vertraulichkeit oder Integrität von Nutzerdaten in Software, die mit dem Code gebaut wird, „substantially“ beeinträchtigen soll. Als Beispiele nennt Google etwa Memory corruption in Parsern von Dateiformaten oder Path Traversal. Zusätzlich sortiert das Programm die Projekte in vier Sensitivitätsstufen; aus den gemeldeten Details geht hervor, dass nur die obersten zwei Stufen (Flagship und Important) überhaupt Geldbeträge für Produktlücken auswiesen – genau diese wurden jetzt im Zuge der Änderung zurückgenommen.
Die finanzielle Seite macht die Signalwirkung deutlich: Die Regeln wurden so angepasst, dass für Produkt-Vulnerabilities in den Top-Tiers keine Prämien mehr gelistet sind. Laut den aktualisierten Beträgen wurden für Flagship-Projekte die zuvor genannten Bereiche von $500 bis $7.500 auf „None“ gesetzt; für Important-Projekte verschwinden die zuvor genannten $101 bis $3.133,7. In demselben Regel-Update, das am 30. September auf der öffentlichen GitHub-Kopie der OSS-VRP-Regeln veröffentlicht wurde, wurden die Beträge ebenfalls entfernt. Gleichzeitig listet Googles zuletzt im September gepflegte Repository-Übersicht insgesamt 26 Flagship– und 47 Important-Repos; zum Flagship gehören neben Go und Angular auch Flutter, Bazel und Protocol Buffers.
Wichtig ist die Abgrenzung: Die Sperre bezieht sich ausdrücklich auf Produkt-Vulnerability-Reports im Rahmen des OSS VRP. Supply-Chain Compromises bleiben hingegen prämienfähig – also Schwachstellen, die es ermöglichen können, den Quellcode oder veröffentlichte Pakete eines Projekts zu manipulieren. Ebenso gelten andere Sicherheitsprobleme weiterhin als eingereicht und bewertet, etwa Leaks von Credentials, die Schreibzugriff ermöglichen. Damit verschiebt Google den Fokus weg von klassischen „Bug melden“-Einreichungen für die Top-Projekte hin zu Kategorien, die typischerweise besonders hohen Schaden im Ökosystem verursachen, weil kompromittierte Abhängigkeiten in der Softwarekette massenhaft weiterwandern.
Für den weiteren Meldeweg nennt die Mitteilung drei Alternativen. Erstens gibt es den Cloud VRP: Dort können Produkt-Vulnerability-Reports für bestimmte Google-Cloud-Repositories akzeptiert werden, allerdings ohne dass die Notice die betroffenen Repos namentlich aufführt. Unter diesen VRP-Regeln wird eine Schwachstelle im OSS-Kontext, die Cloud-Produkte betrifft, maximal auf IT3b eingestuft; diese Stufe gilt für Akquisitionen und Produkte mit geringerer Priorität, sofern die Produktlisten nicht explizit etwas anderes festlegen. Zweitens verweist Google auf Patch Rewards, die nicht für Vulnerability-Reports, sondern für Security-Patches ausgezahlt werden; dafür muss der Patch durch die Maintainer akzeptiert werden und eine Mindestverweildauer von einem Monat erfüllen, bevor die Einreichung möglich ist. Drittens sollen Forscher prüfen, ob die Meldung in andere Belohnungsprogramme fällt; dabei wird auch empfohlen, Schwachstellen, die eng mit Google Cloud oder KI-Produkten verknüpft sind, über die entsprechenden VRPs einzureichen.
Damit ordnet sich der Schritt in eine breitere Entwicklung der letzten Jahre ein: Google startete das OSS VRP im August 2022, erhöhte aber bereits im März 2026 den Druck auf die Einreichungsqualität, indem es in einigen Tiers stärkere Nachweise verlangte. Ein bereits gemergter Patch gilt dabei als akzeptierte Form von Proof. Parallel dazu adressiert das Go-Projekt seit Anfang September explizit den Umgang mit Reports, die durch große Sprachmodelle (LLMs) generiert wurden: Die Policy fordert, solche Meldungen nicht einfach ungefiltert weiterzugeben, weil LLMs sowohl reale Sicherheitslücken als auch frei erfundene Schwachstellen zuverlässig „nacherzählen“ können. In der Summe zeigt Google damit, wie Security-Bounty-Programme nicht nur technische Triagierung, sondern auch Prozess-Design gegen Spam und Automatisierung betreiben müssen – und wie stark die Auszahlungslogik von überprüfbaren Fixes und klaren Schadensmustern abhängen kann.
Unterm Strich ist die Nachricht weniger eine generelle Abkehr von Open-Source-Sicherheit als eine Neukalibrierung des Risiko-zu-Aufwand-Verhältnisses: Wer Produktlücken in den Flagship- und Important-Projekten meldet, stößt aktuell auf eine harte Grenze; wer hingegen die Kategorien „Supply Chain“ oder überprüfbare Patches adressiert, findet weiterhin definierte Wege. Google kündigt zudem ein Update bis ins erste Quartal 2027 an, während das Unternehmen die betroffene Programmkomponente überarbeitet. Für Teams, die Security-Reports koordinieren, bedeutet das konkret: Dokumentation, Verifikation und ein sauberer Übergang in die passenden Programme oder Patch-Prozesse werden jetzt noch wichtiger, weil ein Teil der Meldungen nicht mehr nachträglich „durchgewunken“ werden kann.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Google stoppt OSS-Fehlerprämien für Produktmeldungen wegen automatisierter Fake-Reports" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Google stoppt OSS-Fehlerprämien für Produktmeldungen wegen automatisierter Fake-Reports" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Google stoppt OSS-Fehlerprämien für Produktmeldungen wegen automatisierter Fake-Reports« bei Google Deutschland suchen, bei Bing oder Google News!