Bug bounty-programma’s, waarbij bedrijven hackers belonen voor het vinden van kwetsbaarheden in hun software, worden overspoeld met meldingen van lage kwaliteit die door AI zijn gegenereerd. Dit dwingt sommige bedrijven ertoe hun programma’s tijdelijk stil te leggen. Voor MKB-ondernemers die overwegen een eigen bug bounty op te zetten, is het essentieel om te weten hoe je deze AI-rommel kunt filteren en de juiste beveiligingspartner kiest.

Wat er aan de hand is

Bugcrowd, een platform dat bug bounty-programma’s beheert voor klanten zoals OpenAI, T-Mobile en Motorola, meldt dat het aantal ontvangen rapporten in maart meer dan verdrievoudigde over een periode van drie weken. Het overgrote deel van deze meldingen bleek vals. De oorzaak is de opkomst van AI-tools die in staat zijn om snel grote hoeveelheden ogenschijnlijk technische, maar inhoudelijk incorrecte beveiligingsrapporten te genereren. Waar voorheen een menselijke hacker uren of dagen nodig had voor een serieuze melding, produceert AI nu in minuten een stroom aan rapporten die de systemen van bedrijven en platforms overbelasten. Dit fenomeen, ook wel ‘AI slop’ genoemd, bedreigt de effectiviteit van een beproefde methode om software veiliger te maken.

Wat dit betekent

Voor MKB-ondernemers die een bug bounty-programma overwegen, betekent dit dat de instapdrempel hoger is geworden. De kans dat je wordt overspoeld met irrelevante of foutieve meldingen is reëel, vooral als je een openbaar programma lanceert zonder goede filters. Dit kan leiden tot verspilling van tijd en geld, omdat je team elke melding moet beoordelen. Bovendien kan een overvloed aan valse meldingen echte kwetsbaarheden maskeren, waardoor je beveiliging juist verslechtert. Voor bedrijven die al een programma hebben, is het zaak om de processen aan te passen om de nieuwe stroom AI-gegenereerde rapporten te kunnen verwerken.

Hoe je dit kunt toepassen

Als je een eigen bug bounty-programma overweegt, begin dan niet met een volledig openbaar programma. Een mogelijkheid is om te starten met een besloten programma, waarbij je alleen een selecte groep vertrouwde onderzoekers uitnodigt. Dit beperkt de kans op AI-rommel aanzienlijk. Je zou ook kunnen overwegen om een platform als Bugcrowd of HackerOne in te schakelen, die zelf al filters hebben tegen AI-meldingen. Vraag bij hen expliciet naar hun aanpak voor het detecteren van AI-gegenereerde rapporten.

Als je al een bug bounty-programma runt, overweeg dan om de drempel voor meldingen te verhogen. Een optie is om een minimale beloning in te stellen voor rapporten die worden geaccepteerd, of om een voorafgaande validatie-eis in te bouwen. Je kunt ook een apart e-mailadres of formulier aanmaken voor ‘quick scan’-meldingen, zodat je team de serieuze rapporten prioriteit kan geven. Het is verstandig om je beoordelingsproces te herzien en te kijken of je AI kunt inzetten om de AI-meldingen eruit te filteren.

Als je een beveiligingspartner kiest, let dan op hoe zij omgaan met AI-rommel. Vraag of ze specifieke tools of protocollen hebben om AI-gegenereerde rapporten te herkennen. Een goede partner zal transparant zijn over de maatregelen die ze nemen. Overweeg om een proefperiode af te spreken waarin je de kwaliteit van de meldingen kunt beoordelen voordat je een langdurig contract aangaat. Het is ook verstandig om te vragen naar hun ervaring met AI-rommel en hoe ze de impact op jouw bedrijf minimaliseren.

Bron: Arstechnica (https://arstechnica.com/ai/2026/05/bug-bounty-businesses-bombarded-with-ai-slop/)