LONDON (IT BOLTWISE) – GitHub ändert ab dem 27. Juli 2026 spürbar die Auszahlungshöhen für öffentliche Bug-Bounty-Reports. Kritische Funde fallen dabei von bisherigen 20.000 bis 30.000 US-Dollar plus auf feste 10.000 US-Dollar, während die invite-only VIP-Stufe für kritische Schwachstellen mindestens 30.000 US-Dollar zahlt. Der Schritt soll mehr Ruhe in die Triage bringen und etablierte Forschende schneller an die Security-Engineering-Teams anbinden. Gleichzeitig rückt die Frage in den Fokus, wie sich KI-gestütztes Testen künftig zwischen besserer Effizienz und mehr „Junk“-Reports bewegt.
GitHub zieht die Geldschraube bei öffentlichen Bug-Bounty-Auszahlungen an und verlagert die größten Rewards in eine permanente, invite-only VIP-Stufe. Konkret gilt ab dem 27. Juli 2026: GitHub senkt die öffentlichen Prämien mindestens auf die Hälfte – und richtet die Vergütung dabei über alle Schweregrade hinweg auf feste Beträge aus. Kritische Findings, die bislang in einer Spanne von 20.000 bis 30.000 US-Dollar plus lagen, werden künftig mit 10.000 US-Dollar gedeckelt. Damit ändert sich nicht nur die Höhe, sondern auch die Erwartungslogik vieler Einreicher: Statt „Range-Payouts“ gibt es planbare Fixbeträge, während die VIP-Staffel für kritische Schwachstellen mindestens 30.000 US-Dollar ausschüttet.
Im öffentlichen Programm wechselt GitHub zudem von flexiblen Preisbereichen zu klaren Tabellenwerten: Low geht von zuvor 617 bis 2.000 US-Dollar auf 250 US-Dollar zurück, Medium von 4.000 bis 10.000 US-Dollar auf 2.000 US-Dollar, High von 10.000 bis 20.000 US-Dollar auf 5.000 US-Dollar und Critical von 20.000 bis 30.000 US-Dollar plus auf 10.000 US-Dollar. Aus der Perspektive der Triage bedeutet das eine Vereinheitlichung der Entscheidungsgrundlage: Bewertungsstrecken und Rückfragen werden weniger, weil die Vergütung stärker mit dem Schweregrad statt mit der internen Einschätzung einer „Range“ verknüpft ist. GitHub begründet den Umbau mit dem Ziel, „Noise“ zu reduzieren und etablierten Forschenden schnelleres Feedback, höhere Rewards und näheren Zugang zum Security-Engineering zu ermöglichen.
Technisch und organisatorisch rückt damit die Frage in den Vordergrund, wie aus Kandidatenfunden überhaupt belastbare Meldungen entstehen. In einer Welt, in der KI-Modelle zunehmend günstiger Kandidatenfehler vorschlagen und Code-Änderungen schneller wiederholbar machen, sinkt die Kostenbasis für die Generierung potenzieller Schwachstellen – und damit auch die Zahl der eingereichten Reports. Genau hier soll die neue Signal-Logik ansetzen: GitHub spricht davon, dass fixe Zahlungen Unsicherheit und Triage-Overhead senken. Gleichzeitig bleibt Spielraum für Boni: In „Ausnahmefällen“ kann GitHub weiterhin zusätzliche, diskretionäre Prämien für besonders gute Arbeit vergeben. Die VIP-Stufe setzt zudem auf Mindestniveaus: Wer im privaten Programm berücksichtigt werden will, muss mindestens einen kritischen, zwei High-, vier Medium- oder sieben Low-Severity-Reports melden. Allerdings nennt die Ankündigung kein konkretes Zeitfenster und macht keine Garantie, dass diese Schwellen automatisch zu einer Einladung führen.
Die Verschiebung trifft aber nicht nur auf Bug-Bounty-Programme zu, sondern auf den gesamten Entwicklungsprozess. Denn sobald AI-gestützte Assistenzsysteme stärker in die Code-Überprüfung einwandern, können Teams häufiger scannen, Validierungen automatisieren und Findings schneller in Release- und Commit-Pipelines zurückspielen. Das wird besonders greifbar, wenn Modelle nicht nur einmalig prüfen, sondern wiederholt gezielt zusätzliche Codepfade untersuchen. Ein Beispiel liefert hier eine separate Google-Entwicklung: Gemini 3.5 Flash Cyber wurde einen Tag vor der GitHub-Änderung vorgestellt. Das Modell ist auf das Auffinden, Validieren und Patchen von Software-Schwachstellen ausgerichtet und sollte zunächst exklusiv über einen Code-Security-Agenten in einem Pilotumfeld verfügbar sein. In eigenen Tests berichtete Google etwa 55 bestätigte, einzigartige V8-relevante Issues gegenüber 47 beim „mainline“ Gemini 3.5 Flash und 36 bei Claude Opus 4.6; außerdem wird ein Case genannt, in dem innerhalb von zwei Stunden entfernbare Code-Execution-Schwächen in öffentlichen APIs sowie ein Memory-Corruption-Fehler in einem produktionsnahen Dienst identifiziert und ein RCE-Exploit generiert worden sein soll, einschließlich Umgehung von ASLR und W^X. Entscheidend ist: Die Zahlen und das Exploit-Ergebnis stammen aus Google-eigenen Angaben und wurden nicht unabhängig verifiziert.
Dass das Thema nicht nur akademisch ist, zeigt auch die Entwicklung bei anderen Programmen. Nachdem Curl-Cash-Bounty-Prämien Ende Januar 2026 beendet wurden, sank dort der bestätigte Vulnerability-Anteil nach Angaben des Projektumfelds unter 5% – parallel stieg die Rate an Einreichungen, die als AI-unterstützter „Junk“ beschrieben wurden. Binnen weniger Monate kam es nach dem Rückkehrmodell über eine Plattform wieder zu einem Volumenanstieg: Berichten zufolge trafen danach im Vergleich zu 2025 etwa doppelt so viele Reports ein, wobei 15 bis 16% als echte Schwachstellen bestätigt wurden. Der Maintainer legte dabei nahe, dass nahezu jeder Report AI-unterstützt war und die Qualität im Mittel wieder angestiegen sei. Genau dieser Spannungsbogen erklärt, warum GitHub die öffentlichen Rewards kürzt, aber nicht „KI“ als solche ausschließt: Die Werkzeuge können Triage überfluten, doch sie können auch kompetente Forschende schneller machen und interne Teams häufiger und tiefer validieren lassen.
Am Ende entscheidet die Architektur der Prüfung: Selbst wenn Kandidatenfunde in hoher Frequenz entstehen, bleiben Engpässe bei nachvollziehbarer Validierung, exploitfähigem Nachweis, Kontext zum Produkt und einer sauberen Einordnung für die Offenlegung und Behebung. GitHub versucht, diese Engpässe über Signalanforderungen zu steuern und setzt zugleich darauf, dass Forschende weiterhin selbst Reproduktion und Verifikation übernehmen müssen. Dass die öffentliche Seite dennoch vorübergehend Werte widersprüchlich ausweist – etwa wenn Rewards-Seiten weiterhin alte Bereiche anzeigen, während FAQ-Logik und die neuen VIP-Tabellenwerte bereits auf den Umbau verweisen – erhöht allerdings die Unsicherheit bei Einreichern, die sich an alten Kriterien orientieren. Für neue Forschende kann die nun stärker limitierte Trial-/Programmstruktur zusätzlich riskant sein: Wenn schon die ersten vier Test-Reports in einem rollierenden 30-Tage-Fenster schnell „falsch“ bewertet werden oder unterhalb der Schwelle initial landen, bleibt wenig Spielraum, um sich in der etablierten Sicherheitslogik zurechtzufinden.
Für Unternehmen ist die Konsequenz zweigeteilt. Einerseits wird der Eintrittsaufwand für „vollständige“ Bugs teurer, weil mehr Wert auf verifizierbare, produktbezogene Wirkung gelegt wird und die öffentlichen Fixbeträge sinken. Andererseits steigen die Chancen, dass interne Teams mittels KI häufiger in den Code hinein prüfen können, bevor externe Meldungen eintreffen – etwa indem sie Repository-Kontext, Projekt-Threat-Model und eine passende Validierungsumgebung mitgeben und so Test-Generierung sowie Proof-of-Concept-Schritte gezielt automatisieren. Das passt zu einer Arbeitsweise, bei der Penetrationstests nicht ersetzt werden, aber erstpassige Quellcode-Checks, Testgenerierung und Validierung leichter automatisierbar werden. GitHub, Google und die beobachtete Entwicklung bei Maintainer-Ökosystemen deuten damit auf einen klaren Trend: KI kann die Menge an Kandidatenfunden deutlich erhöhen – und deshalb müssen Programme die Triage, die Schwellen und die Belohnungslogik präziser machen, um Relevanz von Lärm zu trennen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GitHub senkt öffentliche Bug-Bounty-Zahlungen und verlagert Top-Prämien in eine VIP-Stufe" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GitHub senkt öffentliche Bug-Bounty-Zahlungen und verlagert Top-Prämien in eine VIP-Stufe" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GitHub senkt öffentliche Bug-Bounty-Zahlungen und verlagert Top-Prämien in eine VIP-Stufe« bei Google Deutschland suchen, bei Bing oder Google News!