// HEISE ONLINE — LINUX & OPEN SOURCE
heise+ | Wie KI Open-Source-Maintainer unter Druck setzt
Das Ende der Bug-Bounties, ein Pausenmonat und was sonst noch gegen die KI-generierte Bug-Report-Flut hilft.
„Mit Hummus und scharf?“ In einem Fast-Food-Restaurant hinter der Theke zu stehen und diese Frage zu stellen, würde den meisten Open-Source-Maintainern mehr Geld einbringen, als quelloffene Software zu entwickeln und zu warten. Aus einer Umfrage der US-amerikanischen Firma Tidelift aus dem Jahr 2024 geht hervor, dass 60 Prozent der befragten Maintainer kein Geld in dieser Rolle verdienen. Von denen, die aus ihren Open-Source-Projekten ein Einkommen bestreiten, bekommen nur 26 Prozent mehr als 1000 US-Dollar im Jahr. Mehr als die Hälfte von ihnen gab an, sie hätten bereits hingeworfen oder dächten darüber nach. Die Gründe: Stress, mangelnde Wertschätzung und fehlende Kompensation für die Pflege des Fundaments eines Großteils aller modernen Software.
Open-Source-Projekte sind oft als Abhängigkeiten (Dependencies) in zahllose andere quelloffene oder auch proprietäre Softwareprojekte eingebunden. Aus dem Open Source Security and Risk Analysis-Report des Jahres 2025 geht hervor, dass 97 Prozent der von den Verfassern untersuchten kommerziellen Softwareprojekte Open-Source-Dependencies nutzen.
Oft wird der Code dieser Dependencies von einer einzelnen Person gepflegt. Downloadzahlen der Paketmanager (Registries, aus denen Entwickler die Pakete mit dem Code herunterladen) zeigen, so Brian Fox, der in das Open Source Projekt des Java Paketmanagers Maven Central involviert ist, gegenüber dem britischen Technik-Medium The Register, dass der Löwenanteil der Downloads auf die Kappe großer Unternehmen geht. Trotzdem fließt sehr wenig Geld von dort zurück in Richtung der Betreiber der Registries oder in die Kassen der Maintainer.
2024 ist lange her. Damals gab es die aktuell akuten Probleme noch nicht, die Fähigkeiten der LLMs (Large Language Models) waren begrenzt. KI-generierte Schwachstellen-Reports gingen schon damals in Massen bei den Open-Source-Projekten ein, doch der allergrößte Teil davon war unnützer KI-Slop, also gut aussehender, aber inhaltlich wertloser Müll.
Die Slop-Reports erhöhten allerdings das Arbeitsaufkommen für die Maintainer, die sich plötzlich – zusätzlich zur Arbeit am Projekt – vor die Aufgabe gestellt sahen, die Spreu vom Weizen zu trennen. „Triage“ nennt man das Sortieren nach Dringlichkeit auch. Es nervte so sehr, dass der Hauptentwickler des cURL-Projekts, Daniel Stenberg, im Januar 2026 die Schließung von cURLs Bug-Bounty-Programm bekanntgab. Gegenüber heise online gab Stenberg an, man hoffe, durch die Entfernung des finanziellen Anreizes die Flut der eingehenden Reports etwas einzudämmen und so die Belastung für die Maintainer zu verringern.
KI-Rechenzentren schießen wie Pilze aus dem Boden. Sie verheizen nicht nur mehr Strom als normale Rechenzentren, sondern haben auch technische Besonderheiten.
Häufige Systembrüche, überbordende Anleitungen, komplexe Technik: Eine aktuelle Studie zeigt, warum Bürger an Onlinediensten von Behörden scheitern.
Am 12. August verdunkelt sich die Sonne über Europa. Wo Sie das Phänomen sehen können, wie es entsteht und was es für die Forschung bedeutet.
Der alte PC lahmt, aber RAM ist teuer. Der Tausch von CPU und GPU katapultiert einen sieben Jahre alten Rechner auf aktuelles Leistungsniveau und spart Strom.