Mobile-Menu

Psychische Belastung cURL stoppt Bug-Bounty-Programm wegen KI-generierten Falschmeldungen

Von Melanie Staudacher 3 min Lesedauer

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH
Fsas Technologies GmbH
FTAPI Software GmbH

Das Bug-Bounty-Programm des beliebten Kommandozeilenprogramms und der Bibliothek cURL wurde eingestellt. Grund dafür sei die zunehmende Flut an minder­wertigen, KI-generierten und teils gefälschten Berichten über Si­cherheitslücken gewesen.

Vermutlich, um mit wenig Aufwand hohe Prämien für entdeckte Sicherheitslücken einzuheimsen, erreichten das Team von cURL vermehrt KI-generierte Berichte. Diese seien jedoch teils so falsch gewesen, dass das Team sein Bug-Bounty-Programm eingestellt hat.(Bild: monsitj - stock.adobe.com)
Vermutlich, um mit wenig Aufwand hohe Prämien für entdeckte Sicherheitslücken einzuheimsen, erreichten das Team von cURL vermehrt KI-generierte Berichte. Diese seien jedoch teils so falsch gewesen, dass das Team sein Bug-Bounty-Programm eingestellt hat.
(Bild: monsitj - stock.adobe.com)

„Wir sind nur ein kleines Open-Source-Projekt mit wenigen aktiven Entwicklern“, schrieb Daniel Stenberg, Gründer und Hauptentwickler der Open-Source-Anwendung cURL, auf GitHub. Am 26. Januar 2026 hatte Stenberg auf seinem Blog angekündigt, dass das Bug-Bounty-Pro­gramm für cURL, welches über die Plattform HackerOne lief, am 31. Januar 2026 eingestellt wurde. Grund dafür sei, dass vermehrt Meldungen über HackerOne eingegangen seien, bei denen offensichtlich KI-Tools falschen Code, der nicht cURL wiedergebe, analysiert hätten, was zu Massen an Falschmeldungen geführt habe.

Falschmeldungen seien belastend

Das Programm lief seit 2019 auf HackerOne und cURL konnte damit zahlreiche Sicher­heits­lücken beheben. Doch nach insgesamt 87 bestätigten Schwachstellen und über 100.000 US-Dollar, die an Sicherheitsforscher ausgeschüttet wurden, habe sich das Bug-Bounty-Programm ab Mitte 2024 langsam seinem „Niedergang“ genähert. Die Entwickler von cURL hätten eine „explosionsartige Zunahme von Meldungen über fehlerhafte KI-Codes“ erlebt, was ein­her­ge­gang­en sei mit einer zunehmend schlechterer Qualität aller anderen Meldungen, die auf den ersten Blick nicht offensichtlich fehlerhaft gewesen seien. Stenberg geht davon aus, dass sich White Hat Hacker und Sicherheitsforscher bei der Analyse von Software möglicherweise zu sehr auf KI-Tools verlassen haben und deswegen die Meldungen von Sicherheitslücken nicht ausreichend kritisch hinterfragten.Dies könnte Grund für die hohe Anzahl an ungenauen oder irrelevanten Berichten sein, was sich im Laufe des letzten Jahres auf die Effektivität des Bug-Bounty-Programms ausgewirkt hätte.

„Die endlosen Meldungen über fehlerhafte Codes sind psychisch sehr belastend und ihre Wi­der­legung oft sehr zeitaufwendig. Zeit und Energie, die völlig verschwendet werden und uns die Lebensfreude rauben“, schreibt Stenberg weiter. Dieses übermäßige Vertrauen in KI, die darauf folgende Explosion an fehlerhaften KI-Berichten zu angeblichen Sicherheitslücken sowie die generell schwindende Qualität der Meldungen über das Bug-Bounty-Programm hätten cURL dazu veranlasst, das Programm zu stoppen.

Wie geht es mit der Sicherheit von cURL weiter?

Doch wie wird es ohne Bug-Bounty-Programm künftig mit der Sicherheit des Open-Source-Tools weitergehen? Stenberg zeigt sich in seinem Blogbeitrag überzeugt davon, dass die Si­cher­heit von cURL auch ohne Bug Bounties über HackerOne aufrechterhalten werden kann. „Ich bin überzeugt, dass unsere besten Sicherheitsreporter uns weiterhin über gefundene Sicherheitslücken informieren werden.“

Wenn User künftig ein Sicherheitsproblem in cURL vermuten, sollen sie dieses an GitHub melden. Alternativ stehe auch weiterhin die E-Mail-Adresse security@curl.se zur Verfügung, über die vollständige Berichte eingereicht werden können. Über beide Wege würden die Meldungen vom cURL-Sicherheitsteam verfolgt. Allerdings werde es keine monetären Belohnungen mehr geben.

Um die unzureichende Qualität der Sicherheitsberichte akut zu verbessern, will das cURL-Team wie folgt vorgehen:

  • Den Anreiz für das Einreichen falscher Meldungen werde weggenommen, indem die Belohnung entfällt.
  • HackerOne werde nicht mehr als Kanal empfohlen, um Schwachstellen einzureichen. Dies soll vermutlich die Flut an Meldungen – und damit auch Falschmedungen – reduzieren.
  • Jede Person, die fehlerhaften KI-Code an das Projekt sendet, werde umgehend gesperrt und „öffentlich bloßgestellt“.

Wie emotional das Thema für Stenberg ist, zeigt sich in den Diskussionen über GitHub: „Es liegt nicht in unserer Macht, die Arbeitsweise all dieser Menschen und ihren Schlammmaschinen zu ändern. Wir müssen Maßnahmen ergreifen, um unser Überleben und unsere psychische Ge­sund­heit zu sichern.“

(ID:50704331)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte