Seit dem 1. Oktober 2026 nimmt Google in seinem Open-Source-Bug-Bounty (OSS VRP) vorerst keine neuen Meldungen zu Produktschwachstellen an. Als Grund nennt Google eine stark gestiegene Zahl automatisierter Einreichungen, die größtenteils ungültig seien. Meldungen zur Lieferkette und bereits eingereichte Fälle sind nicht betroffen. Ein Update ist für das erste Quartal 2027 angekündigt. Schon seit März verlangt Google für bestimmte Speicherfehler eine OSS-Fuzz-Reproduktion oder einen übernommenen Patch.
Das curl-Projekt hatte seine Geldprämien Ende Januar aus ähnlichem Grund eingestellt und nimmt Meldungen seit März wieder über HackerOne an. Im April beschrieb Maintainer Daniel Stenberg, wie sich die Lage seitdem verändert hat. Fast alle Meldungen seien inzwischen KI-gestützt und überwiegend brauchbar. Ihr Aufkommen ist allerdings etwa doppelt so hoch wie 2025.
Am 8. Oktober startete Anthropic den OSS Scanner. Open-Source-Projekte, die aufgenommen werden, erhalten kostenlos regelmäßige KI-Scans. Die Berichte gehen ohne menschliche Prüfung an die Maintainer und enthalten jeweils einen Reproduzierer und einen Patchvorschlag. Parallel läuft das bisherige Verfahren mit manuell geprüften Meldungen weiter. Die 90-Tage-Frist bis zur Veröffentlichung greift erst, wenn Anthropic einen Fund manuell bestätigt und die Maintainer darüber informiert hat.
Die Ausgangszahlen stammen aus einer sechsmonatigen Forschungsphase vor dem Start. Anthropic fand rund 29.000 mögliche Schwachstellen, konnte aber nur etwa 6.000 davon manuell sichten. Von 97 hoch oder kritisch eingestuften Funden erfüllten laut Anthropic 85 die Kriterien für eine koordinierte Offenlegung. Elf waren echte, aber bereits bekannte Fehler, einer war ungültig. Eine unabhängige Prüfung der Gesamtstatistik ist nicht dokumentiert.
Beide Fälle zeigen, wie begrenzt die Prüfkapazität ist. KI beschleunigt die Suche nach Schwachstellen, ihre Validierung und Behebung bleiben dagegen aufwendig.
Die Zahlen der Google Threat Intelligence Group (GTIG) passen dazu. Die monatlich veröffentlichten Schwachstellen stiegen von 5.045 im Januar 2026 auf 10.740 im August. Bei 141 davon beobachtete GTIG bis August eine aktive Ausnutzung. Das sind mehr als die 127 im gesamten Jahr 2025, aber nur rund 0,23 Prozent. Allein auf CVEs mit Bezug zum Linux-Kernel entfielen rund 5.000, ohne beobachtete Zero-Day-Ausnutzung. Den Zuwachs bei Angriffen führt GTIG vor allem auf bereits veröffentlichte Lücken zurück.
Die reine Zahl der CVEs sagt damit wenig über das Risiko aus. Strengere Nachweise und Limits je Absender können Meldeprogramme entlasten. Ein funktionierender Proof of Concept zeigt allerdings nur, dass sich ein Fehler auslösen lässt. Ob er im realen Einsatz erreichbar und damit sicherheitsrelevant ist, bleibt offen. Aussagekräftiger ist, wie schnell ausgenutzte Lücken in betroffenen Systemen geschlossen werden, und welche weiteren Lücken wegen ihrer Erreichbarkeit Vorrang bekommen.
Was das kostet, zeigt die Bank of America. Laut CEO Brian Moynihan holte die Bank im zweiten Quartal 1.000 externe Kräfte, die bis heute gemeinsam mit 3.000 eigenen Leuten Lücken in eigener und zugekaufter Software schließen. Gefunden haben diese Lücken KI-Modelle wie Anthropics Mythos. Für die Softwarefixes und die Geldwäsche-Compliance zusammen fielen im dritten Quartal laut Moynihan „a couple hundred million plus“ an. Heikel ist, dass Mythos in Tests von Anthropic bereits mehrere kleine Fehler zu einem schweren Angriff verkettet hat. Moynihan erwartet trotzdem sinkende Kosten, denn „once you patch, you don’t have to patch as much“. Entscheidend ist also nicht die Zahl der Funde, sondern die Kapazität, sie zu priorisieren und zu schließen.
https://thehackernews.com/2026/10/anthropic-launches-free-ai.html
https://www.helpnetsecurity.com/2026/10/09/anthropic-oss-scanner-ai-security-scans
https://betanews.com/article/anthropic-oss-scanner-free-mythos-bug-scans
https://daniel.haxx.se/blog/2026/04/22/high-quality-chaos/
https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source
https://bughunters.google.com/blog/ossvrp-rule-updates-2026
https://daniel.haxx.se/blog/2026/01/26/the-end-of-the-curl-bug-bounty/
https://cybernews.com/news/bank-of-america-mythos
https://www.cnbc.com/2026/10/14/anthropic-mythos-bank-of-america-hiring-cost.html
