1. Wie KI Open-Source-Maintainer unter Druck setzt
    • Das Ende der Bug Bounties
  2. Plötzlich gute Bugs
  3. Kein Security-Problem

„Mit Hummus und scharf?“ In einem Fast-Food-Restaurant hinter der Theke zu stehen und diese Frage zu stellen, würde den meisten Open-Source-Maintainern mehr Geld einbringen, als quelloffene Software zu entwickeln und zu warten. Aus einer Umfrage der US-amerikanischen Firma Tidelift aus dem Jahr 2024 geht hervor, dass 60 Prozent der befragten Maintainer kein Geld in dieser Rolle verdienen. Von denen, die aus ihren Open-Source-Projekten ein Einkommen bestreiten, bekommen nur 26 Prozent mehr als 1000 US-Dollar im Jahr. Mehr als die Hälfte von ihnen gab an, sie hätten bereits hingeworfen oder dächten darüber nach. Die Gründe: Stress, mangelnde Wertschätzung und fehlende Kompensation für die Pflege des Fundaments eines Großteils aller modernen Software.

  • KI findet Sicherheitslücken in Software, die früher nur erfahrene IT-Sicherheitsforscher mit viel Zeit entdeckt hätten.
  • Open-Source-Projekte setzt das massiv unter Druck.
  • Betroffene Maintainer gehen damit höchst unterschiedlich um.

Open-Source-Projekte sind oft als Abhängigkeiten (Dependencies) in zahllose andere quelloffene oder auch proprietäre Softwareprojekte eingebunden. Aus dem Open Source Security and Risk Analysis-Report des Jahres 2025 geht hervor, dass 97 Prozent der von den Verfassern untersuchten kommerziellen Softwareprojekte Open-Source-Dependencies nutzen.

Oft wird der Code dieser Dependencies von einer einzelnen Person gepflegt. Downloadzahlen der Paketmanager (Registries, aus denen Entwickler die Pakete mit dem Code herunterladen) zeigen, so Brian Fox, der in das Open Source Projekt des Java Paketmanagers Maven Central involviert ist, gegenüber dem britischen Technik-Medium The Register, dass der Löwenanteil der Downloads auf die Kappe großer Unternehmen geht. Trotzdem fließt sehr wenig Geld von dort zurück in Richtung der Betreiber der Registries oder in die Kassen der Maintainer.

2024 ist lange her. Damals gab es die aktuell akuten Probleme noch nicht, die Fähigkeiten der LLMs (Large Language Models) waren begrenzt. KI-generierte Schwachstellen-Reports gingen schon damals in Massen bei den Open-Source-Projekten ein, doch der allergrößte Teil davon war unnützer KI-Slop, also gut aussehender, aber inhaltlich wertloser Müll.

Das Ende der Bug Bounties

Die Slop-Reports erhöhten allerdings das Arbeitsaufkommen für die Maintainer, die sich plötzlich – zusätzlich zur Arbeit am Projekt – vor die Aufgabe gestellt sahen, die Spreu vom Weizen zu trennen. „Triage“ nennt man das Sortieren nach Dringlichkeit auch. Es nervte so sehr, dass der Hauptentwickler des cURL-Projekts, Daniel Stenberg, im Januar 2026 die Schließung von cURLs Bug-Bounty-Programm bekanntgab. Gegenüber heise online gab Stenberg an, man hoffe, durch die Entfernung des finanziellen Anreizes die Flut der eingehenden Reports etwas einzudämmen und so die Belastung für die Maintainer zu verringern.

Das war die Leseprobe unseres heise-Plus-Artikels "Wie KI Open-Source-Maintainer unter Druck setzt". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.

Dieser Link ist leider nicht mehr gültig.

Links zu verschenkten Artikeln werden ungültig, wenn diese älter als 7 Tage sind oder zu oft aufgerufen wurden.

Sie benötigen ein heise+ Paket, um diesen Artikel zu lesen. Jetzt eine Woche unverbindlich testen – ohne Verpflichtung!