Der sichtbarste Effekt der Meldeflut ist ein Käufermarkt. „Ich glaube, die Community ist wirklich nervös, denn eines spricht bisher niemand aus: Das Ergebnis wird sein, dass die Preise für Bugs auf breiter Front sinken", sagt ZDI-Manager Dustin Childs. Früher seien gemeldete Schwachstellen begrenzter gewesen, „jetzt findet jeder Bugs". Für Funde im Bereich von 2.000 bis 50.000 US-Dollar erwartet er, dass sie „sehr selten werden oder der Preis nach unten gedrückt wird".
Konkrete Beispiele liefert der Forscher Wojciech Reguła: Zumindest im macOS-Umfeld seien die Prämien in manchen Fällen deutlich gefallen. Eine vollständige Umgehung von TCC (Transparency, Consent and Control), für die es früher rund 30.500 US-Dollar gab, sei heute vielleicht noch etwa 5.000 US-Dollar wert; eine eingeschränktere TCC-Umgehung — etwa das Auslesen sämtlicher Fotos eines Nutzers ohne dessen Zustimmung — sei von rund 5.000 auf 1.000 US-Dollar gerutscht.
Neben der schieren Menge belastet die Qualität. Ashish Kunwar, Schwachstellenforscher bei GanaSec, berichtet Dark Reading, die gesamte Kette von der Einreichung bis zur Auszahlung habe sich seit dem vergangenen Jahr erheblich verlangsamt. Am deutlichsten zog curl-Entwickler Daniel Stenberg die Konsequenz: Im Januar 2026 kündigte er das Ende des curl-Bug-Bounty-Programms nach sieben Jahren an. Der Niedergang habe Ende 2024 begonnen und sich 2025 „stark beschleunigt". Historisch führten mehr als 15 Prozent der curl-Einreichungen zu bestätigten Schwachstellen, 2025 lag die Quote unter fünf Prozent. Man habe „eine Explosion von KI-Schrottmeldungen" erlebt, verbunden mit sinkender Qualität auch bei jenen Berichten, die nicht offensichtlich Schrott waren — vermutlich, weil auch deren Verfasser von KI in die Irre geführt wurden, dies aber besser verborgen blieb. Das Management dieser Flut koste erhebliche mentale Kraft und Zeit.
Apple reagierte anders und verhängt Meldesperren für Nutzer, die wiederholt nicht förderfähige Berichte einreichen. HackerOne, Bugcrowd und ZDI setzen dagegen auf KI-gestützte Vorsortierung als Filterschicht vor den menschlichen Prüfern — Feuer mit Feuer also. Gelöst ist das Problem damit nicht: Triage- und Auszahlungszeiten bleiben verlängert, was die Verantwortlichen einräumen.
Dass der Markt schrumpft, lässt sich aus den Zahlen nicht ablesen. Laut Sprague stiegen die Auszahlungen an HackerOne-Forscher im ersten Halbjahr dieses Jahres um 25 Prozent gegenüber dem Vorjahreszeitraum, ebenso um 25 Prozent die Zahl derer, die 100.000 US-Dollar verdienen; die Zahl neuer Forscher sei „deutlich" gewachsen. Bugcrowd-Chef Gerry rechnet vor allem im unteren und mittleren Segment mit Preisdruck — die Bug-Jagd werde zum „Mengengeschäft", unterstützt durch moderne Werkzeuge. 82 Prozent der Forscher nutzen laut Gerry inzwischen KI in ihren Arbeitsabläufen.
Kunwar setzt KI „intensiv" ein, aber als Kopilot, nicht als Autopilot: Für Quellcode-Prüfungen baute er ein internes Werkzeug, das statische Analyse mit einem lokalen Sprachmodell kombiniert; hinzu kommen Angriffsflächenanalyse und die Automatisierung mühsamer Aufgaben beim Exploit-Bau. „Die Ermessensentscheidungen — ist das echt, ist es ausnutzbar, überschreitet es eine Grenze, wie belege ich die Auswirkung — die gehören mir", sagt er. Seine Regel: „Wenn ich den Bug nicht ohne das Modell erklären und die Auswirkung belegen kann, habe ich nichts gefunden." Ein weiterer unabhängiger Forscher, der sich „Impost0r" nennt, koppelt KI an seine Binäranalyse-Werkzeuge, um wiederkehrende Reverse-Engineering-Arbeit zu automatisieren.
Von den rund einem Dutzend Führungskräften, Experten und Forschern, mit denen Dark Reading sprach, hielt niemand die Vulnpocalypse für eine Existenzkrise der unabhängigen Sicherheitsforschung. Aaron Portnoy, Chief Product Officer bei Mindgard und Mitbegründer des Pwn2Own-Wettbewerbs, verweist darauf, dass KI die Softwareentwicklung beschleunigt — und dabei vielfach schlecht geschriebene, fehlerhafte Software hervorbringt. „Niemand, mit dem ich gesprochen habe, hat das Gefühl, dass ihm seine besonderen Fähigkeiten so weit genommen werden, dass er seinen Job verliert", sagt Portnoy. Casey Ellis, Präsident und Mitgründer von Disclose.io und früherer Bugcrowd-Gründer, fasst es so: „Das Ökosystem selbst ist kein statischer Organismus."