Bug-Bounty-Plattformen geraten durch KI-generierte Massenberichte zunehmend unter Druck. Bugcrowd, dessen Kundenliste OpenAI, T-Mobile und Motorola umfasst, meldete im März eine Vervierfachung der eingehenden Reports innerhalb von drei Wochen – der Großteil stellte sich als falsch heraus. Das Open-Source-Projekt Curl suspendierte sein bezahltes Programm im Januar wegen einer „Explosion an KI-Slop-Reports". Nextcloud folgte im April aus demselben Grund. Sophos-CISO Ross McKerchar unterscheidet drei Gruppen problematischer Einsender: unerfahrene Amateure, bestehende Forscher die von KI-Agenten fehlgeleitet werden, und erfahrene Entwickler automatisierter End-to-End-Scanning-Systeme. HackerOne verzeichnete im Jahresvergleich bis März ein Plus von 76 Prozent bei Einsendungen, während der Anteil valider Schwachstellen-Reports bei konstant 25 Prozent blieb. Die Plattform führte neue „agentic validation capabilities" ein. Anthropics im April gestartetes Cyber-KI-Modell Mythos, das Sicherheitslücken schneller als Menschen finden soll, dürfte das Volumen weiter steigen lassen. Googles Bug-Bounty-Programm schüttete zuletzt 17 Millionen Dollar jährlich aus – die höchste Einzelprämie betrug 605.000 Dollar für eine Android-Schwachstelle im Jahr 2022.