KI verändert die Ökonomie des Bug Hunting

Der Schwachstellenmarkt tritt in eine neue Phase ein

Künstliche Intelligenz verändert nicht nur, wie Software gebaut wird. Sie verändert auch, wie Software bricht, wie schnell diese Schwachstellen gefunden werden und wie viel Unternehmen möglicherweise zahlen müssen, um zuerst davon zu erfahren. Laut Berichten von Wired beginnt die KI-gestützte Schwachstellensuche, Bug-Bounty-Programme zu überfluten, und erzeugt damit neue wirtschaftliche und operative Belastungen im Ökosystem der Softwaresicherheit.

Das ist wichtig, weil Bug-Bounty-Programme zu einer der wichtigsten Brücken zwischen unabhängigen Sicherheitsforschern und großen Technologieunternehmen geworden sind. Anstatt externe Forscher als Gegner zu behandeln, zahlten Unternehmen ihnen zunehmend dafür, Schwachstellen verantwortungsvoll offenzulegen. Jetzt wird dieses System durch die Skalierung auf die Probe gestellt.

Mehr Bugs, mehr Einreichungen, mehr Druck

Die zentrale Verschiebung ist klar: Agentische KI-Modelle werden immer besser darin, Schwachstellen autonom zu identifizieren und Exploits zu entwickeln. In der Praxis bedeutet das, dass mehr Schwachstellen schneller und von mehr Menschen gefunden werden können. Das Ergebnis, wie der Ausgangstext beschreibt, ist ein Anstieg der Einreichungen bei Vulnerability-Disclosure- und Bounty-Programmen, während Organisationen gleichzeitig auch intern mehr Bugs finden.

Der unabhängige Forscher Joseph Thacker sagte Wired, er habe etwa dreimal so viele Bugs eingereicht wie zum gleichen Zeitpunkt im Vorjahr, und spekulierte, dass ein Unternehmen wie Google am Ende zwei- bis zehnmal mehr für Auszahlungen ausgeben könnte als im letzten Jahr. Ob sich diese genaue Prognose bewahrheitet oder nicht, die Richtung der Veränderung ist klar: Das alte Verhältnis zwischen Forschungsaufwand, Bug-Knappheit und Belohnungshöhe wird durcheinandergebracht.

Große Technologieunternehmen können diesen Druck womöglich absorbieren. Kleinere Organisationen eher nicht. Wenn Bounty-Programme mit Funden mittlerer und niedriger Schwere überflutet werden, die KI-Systeme in großem Maßstab aufdecken können, steigen die Triage-Arbeit, die Belastung der Reaktionsteams und möglicherweise müssen sich auch die Auszahlungsstrukturen ändern.

Angreifer bewegen sich zur gleichen Zeit wie Verteidiger

Es geht nicht nur um effizientere Verteidigung. Dieselben Werkzeuge, die ethischen Forschern helfen, Schwachstellen zu finden, können auch Angreifern helfen, Exploits zu entwickeln. Diese Symmetrie ist einer der Gründe, warum die Veränderung ernster ist als ein vorübergehender Anstieg des Einreichungsvolumens.

Der Ausgangstext beschreibt das Feld als parallel mit den Angreifern im Wandel. Wenn sich die Entwicklung von Exploits beschleunigt, könnten die vertrauten Annahmen, auf denen Offenlegungsnormen beruhten, erodieren. Insbesondere langjährige 90-Tage-Offenlegungsfristen könnten unter Druck geraten, wenn Unternehmen glauben, dass Angreifer Schwachstellen schneller als früher ausnutzen können.

Der im Artikel zitierte Sicherheitsforscher Himanshu Anand argumentierte, dass das 90-Tage-Fenster für verantwortungsvolle Offenlegung für eine Welt geschaffen wurde, in der Bug-Finder selten waren und die Exploit-Entwicklung langsam verlief. Diese Aussage trifft das strukturelle Problem. Offenlegungspolitik basiert auf dem Tempo von Entdeckung und Ausnutzung. Wenn KI beides verändert, passt der politische Rahmen womöglich nicht mehr zur Realität.

Der aktuelle Überschuss könnte nicht von Dauer sein

Einer der interessantesten Punkte in der Berichterstattung ist, dass der heutige Bounty-Boom nur eine Übergangsphase sein könnte. Thacker deutete an, dass Forschende derzeit zugängliche Schwachstellen ernten, im nächsten Jahr aber weniger Bugs gemeldet werden könnten, weil ein Großteil dieses leichteren Geländes bereits abgegrast sein wird. Wenn das eintritt, könnten Unternehmen einen Zyklus erleben, in dem Auszahlungen zunächst steigen und später erneut steigen müssen, um Aufmerksamkeit auf schwierigere Fehlerklassen zu lenken.

Das wäre ein großer Wandel in der Bug-Bounty-Ökonomie. Statt stabiler Märkte für seltene Expertenfunde könnten Organisationen Wellen von KI-verstärkter Entdeckung erleben: zuerst Überfluss, dann Erschöpfung offensichtlicher Ziele und anschließend Wettbewerb um Forschende, die tiefer vordringen können.

Gleichzeitig müssen Unternehmen entscheiden, ob ihre aktuellen Sicherheitsprozesse für dieses Umfeld schnell genug sind. Triage-Warteschlangen, Patch-Entwicklung, Abstimmung der Offenlegung und Nutzerkommunikation werden alle wichtiger, wenn sich die Zeit zwischen Schwachstellenentdeckung und Ausnutzbarkeit verkürzt.

Sicherheitsprogramme brauchen womöglich ein Redesign, nicht nur mehr Budget

Die wahrscheinliche Lehre ist, dass Organisationen KI-gestütztes Bug Hunting nicht als bloßen Kostenanstieg betrachten können. Mehr Geld für Auszahlungen kann helfen, löst aber nicht das grundlegende Workflow-Problem, wenn Eingang, Priorisierung und Behebung weiter auf eine langsamere Ära kalibriert sind.

Programme müssen möglicherweise Schweregrade anpassen, Teile der Validierung automatisieren, Offenlegungsfristen neu denken und stärker zwischen hochwertigen Funden und Standardrauschen unterscheiden. Nichts davon ist einfach, zumal Bounty-Programme auch einen Reputationswert haben: Wenn Forschende sie nicht mehr als effizient oder fair wahrnehmen, könnte das beste Talent seine Energie anderswo einsetzen.

• KI-Systeme machen es leichter, Software-Schwachstellen zu finden und Exploits zu erzeugen.
• Bug-Bounty-Programme werden mit mehr Funden überflutet, was die Ökonomie von Auszahlungen und Triage verändert.
• Große Firmen können den Druck wahrscheinlich leichter auffangen als kleinere Organisationen.
• Schnellere Exploit-Entwicklung könnte den Druck auf Patch-Zeiten und die 90-Tage-Offenlegungsnorm erhöhen.

Der übergeordnete Punkt ist einfach. KI beschleunigt beide Seiten des Sicherheitswettbewerbs. Für Softwareanbieter ist die Frage nicht mehr, ob sich die Schwachstellenentdeckung beschleunigen wird. Das hat sie bereits. Die Frage ist nun, ob die Institutionen, die für eine langsamere Sicherheitsökonomie gebaut wurden, sich anpassen können, bevor Angreifer die Lücke ausnutzen.

Dieser Artikel basiert auf einer Berichterstattung von Wired. Den Originalartikel lesen.