Sicherheitslücken ohne Ende: Menge an KI-Bug-Reports überfordert Github
Der rapide Anstieg gemeldeter Sicherheitslücken durch den Einsatz von KI in der Schwachstellenforschung macht sich auch bei Github bemerkbar. Wie das Unternehmen in einem Blogbeitrag(öffnet im neuen Fenster) schildert, hat sich die Anzahl der monatlich in die Github-Advisory-Database aufgenommenen Meldungen innerhalb der vergangenen zwei Jahre mehr als verfünffacht. Insbesondere seit Anfang 2026 wächst die Zahl der Einreichungen explosionsartig.
Vor zwei Jahren veröffentlichte Github nach eigenen Angaben noch rund 270 Sicherheitsmeldungen pro Monat – im Mai 2026 waren es 1.560. Möglich wäre allerdings eine noch größere Anzahl an Meldungen, denn das Unternehmen kommt kaum mit der Bearbeitung hinterher, sodass es zu immer längeren Wartezeiten kommt.
"Die Bearbeitungszeiten für neue Sicherheitshinweise sind länger, da das Volumen und die Komplexität der Sicherheitslücken erheblich zugenommen haben", erklärt Github. Seit Mitte April habe das Unternehmen diesbezüglich seine internen Ziele nicht mehr erreicht. "Die Bearbeitungszeiten verlängerten sich zunächst auf etwa eine Woche, dann für einen erheblichen Teil der Meldungen auf mehrere Wochen", heißt es.
Entwickler zunehmend überfordert
Auch für andere Softwareprojekte verschärfte sich die Lage rund um eingereichte KI-Bug-Reports in den vergangenen Monaten. Einige Projekte legten daraufhin etwa ihre Bug-Bounty-Programme auf Eis oder kündigten eine umfangreiche Pause an, in der keinerlei Bug-Reports mehr angenommen und verarbeitet werden sollen. Das soll einer Überlastung vorbeugen und Entwickler vor einem möglichen Burn-out bewahren.
Github warnt vor diesem Hintergrund, dass verlängerte Bearbeitungszeiten auch das Sicherheitsrisiko für Nutzer betroffener Softwarelösungen vergrößern. Das Unternehmen beschreibt in seinem Beitrag, wie viel Arbeit die einzelnen Schwachstellenmeldungen nach sich ziehen können, weil diese validiert, betroffene Softwareversionen eingegrenzt und Duplikate identifiziert werden müssen.
Github bessert nach und bittet um Hilfe
Zwar versucht Github, die Lage unter anderem durch Skalierung und Automatisierung wieder zu entschärfen, jedoch bittet das Unternehmen auch all jene, die eigene Meldungen einreichen, um Unterstützung. Erbeten werden etwa vollständige Angaben zu gemeldeten Sicherheitslücken, darunter eine genaue Beschreibung der jeweiligen Ursache, betroffene Versionsbereiche und klare Anleitungen zur Reproduktion gemeldeter Fehler.
Je genauer die Angaben seien, desto schneller sei die Prüfung einer Einreichung abgeschlossen, betont Github. Im Idealfall dauere es dann nur "wenige Minuten". Fehlten wichtige Details, so müsse der zuständige Prüfer diese zusätzlich erfragen oder selbst ermitteln, was dann deutlich länger dauere. Best Practices für die Einreichung von Schwachstellen beschreibt Github ausführlich(öffnet im neuen Fenster) in seiner Onlinedokumentation.
- Anzeige Hier geht es zu Künstliche Intelligenz: Wissensverarbeitung bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.