Fehler finden und dafür kassieren — das war jahrelang der Deal zwischen GitHub und der Security-Community. Ab dieser Woche gilt ein neuer, deutlich magererer Tarif: Die Microsoft-Tochter halbiert die Prämien ihres öffentlichen Bug-Bounty-Programms mindestens — auf jeder Schweregrad-Stufe. Und die richtig dicken Schecks gibt es künftig nur noch in einem geschlossenen VIP-Club.
DIE NEUEN ZAHLEN: Von über 30.000 auf pauschal 10.000 Dollar
Der Kahlschlag im Detail: Für kritische Schwachstellen zahlte GitHub bislang zwischen 20.000 und mehr als 30.000 US-Dollar — künftig gibt es pauschal 10.000 Dollar. Funde mit hohem Schweregrad bringen noch 5.000 Dollar, mittlere 2.000 Dollar und niedrige gerade einmal 250 Dollar. Wer schon einmal wochenlang an einer komplexen Exploit-Kette gearbeitet hat, kann sich ausrechnen, was das für den Stundenlohn bedeutet.
Parallel baut GitHub einen permanenten Invite-only-VIP-Tier auf: Dort winken für kritische Funde weiterhin 30.000 Dollar und mehr, dazu schnellere Antworten und direkter Draht zum Security-Engineering-Team. Eingeladen wird, wer sich über die Jahre einen belastbaren Track Record erarbeitet hat.
DER GRUND: KI-Müll flutet die Triage-Teams
GitHub macht aus dem Motiv keinen Hehl: Das Programm ertrinkt in Low-Effort-Reports und KI-generierten Einreichungen. Seit jeder mit einem Chatbot in Minuten einen professionell klingenden „Vulnerability Report“ erzeugen kann, stapeln sich in den Triage-Queues Meldungen, die bei näherem Hinsehen heiße Luft sind — und echte Funde bleiben länger liegen. Die Prämien-Kürzung soll den Anreiz für Massen-Einreichungen senken, der VIP-Tier die bewährten Forscher bei der Stange halten.
Das Problem ist nicht GitHub-exklusiv: Auch andere Programme und Open-Source-Projekte klagen seit Monaten über KI-Spam im Bug-Bounty-Briefkasten — der Kurationsaufwand explodiert, während der Erkenntnisgewinn stagniert.
WICHTIG FÜR FORSCHER: Alte Reports behalten alte Konditionen
Ein fairer Zug immerhin: Alle vor dem 27. Juli eingereichten Reports — auch die, die noch unbearbeitet in der Warteschlange liegen — werden nach den alten Prämien-Sätzen vergütet. Wer seinen Fund also rechtzeitig gemeldet hat, muss nicht um sein Geld bangen.
FAZIT: Zwei-Klassen-Gesellschaft mit Ansage
Man kann GitHubs Schritt nachvollziehen — Triage-Kapazität ist endlich, und KI-Spam ist ein reales Problem. Trotzdem bleibt ein Beigeschmack: Das offene Bounty-Modell, das Newcomern den Einstieg in die Security-Forschung ermöglichte, wird spürbar entwertet. Wer heute anfängt, findet gekürzte Prämien und eine VIP-Tür vor, die sich erst nach Jahren öffnet. Ob andere große Programme nachziehen, dürfte die spannendste Frage der nächsten Monate sein — für die Sicherheit des Ökosystems steht dabei einiges auf dem Spiel.
Häufige Fragen
Warum kürzt GitHub die Bug-Bounty-Prämien?
Wie viel zahlt GitHub jetzt noch für Sicherheitslücken?
Wie komme ich in den VIP-Tier?
Was passiert mit Reports, die vor dem Stichtag eingereicht wurden?
Ist das schlecht für die Sicherheit von Open Source?
Quellen: The Hacker News · The Register