Cryptobedrijven verdrinken in AI-gegenereerde bugmeldingen

De opkomst van kunstmatige intelligentie veroorzaakt een onverwacht probleem in de cryptosector. Bug bounty-programma’s, waarmee bedrijven ethische hackers belonen voor het vinden van beveiligingslekken, worden overspoeld met meldingen. Het aantal is geëxplodeerd, maar de kwaliteit is gekelderd. AI maakt het te makkelijk om rapporten te genereren en het merendeel blijkt onbruikbaar.

900 procent meer meldingen in een jaar

Barry Plunkett, co-CEO van Cosmos Labs, ziet de stijging dagelijks. Zijn team ontvangt inmiddels 20 tot 50 rapporten per dag, een toename van circa 900 procent ten opzichte van vorig jaar.

Het probleem is niet de hoeveelheid maar de verhouding. AI-tools kunnen code razendsnel analyseren en overtuigende rapporten produceren. Maar die rapporten trekken regelmatig conclusies die er goed uitzien maar feitelijk niet kloppen. Ontwikkelaars moeten elke melding handmatig beoordelen en besteden steeds meer tijd aan het wegfilteren van ruis.

AI verlaagt de drempel, niet de kwaliteit

Volgens Kadan Stadelmann, CTO van Komodo Platform, is de kern van het probleem dat AI de drempel voor het indienen van bugrapporten drastisch verlaagt. Iedereen met toegang tot een AI-tool kan nu een rapport genereren dat er professioneel uitziet, zonder de technische kennis die daar vroeger voor nodig was.

Het gevolg: een stortvloed aan vals positieve meldingen. Een gemeld probleem dat in werkelijkheid geen echte kwetsbaarheid is. Teams raken overbelast met het scheiden van kaf en koren.

Ontwikkelaars grijpen in

De druk wordt zo groot dat sommige ontwikkelaars drastische maatregelen nemen. Daniel Stenberg, maker van de veelgebruikte softwaretool curl, zette eerder dit jaar zijn bug bounty-programma volledig stop. De hoeveelheid AI-gegenereerde meldingen was simpelweg niet meer te verwerken.

Cryptobedrijven kiezen voor een andere aanpak. Cosmos Labs voerde strengere beoordelingscriteria in en geeft voorrang aan ervaren onderzoekers. Andere bedrijven schakelen gespecialiseerde partijen in om rapporten voor te sorteren voordat ze bij het ontwikkelteam belanden.

Echte kwetsbaarheden stijgen ook

Ondanks de ruis neemt het aantal waardevolle meldingen ook toe. Bug bounty-platform HackerOne registreerde in 2025 zo’n 85.000 geldige inzendingen, 7 procent meer dan het jaar daarvoor. De uitdaging is om die waardevolle rapporten te vinden tussen de berg aan rommel.

Voor de cryptosector, waar hacks routinematig voor verliezen van honderden miljoenen zorgen, is dat cruciaal. Een gemiste kwetsbaarheid kan catastrofaal zijn. Maar een team dat verdrinkt in foutieve meldingen mist precies die ene die ertoe doet.

AI als probleem én oplossing

Experts verwachten dat AI uiteindelijk ook de oplossing biedt. Slimme filtersystemen kunnen onbetrouwbare meldingen automatisch herkennen en verwijderen voordat ze bij een ontwikkelaar belanden. Vooral voor kleinere teams die niet de capaciteit hebben om alles handmatig te beoordelen, is dat onmisbaar.

De ironie is treffend. AI creëert het probleem en moet het vervolgens zelf oplossen. Voor de cryptosector is het een voorbode van een breder patroon: naarmate AI krachtiger wordt, verschuift het slagveld van beveiliging van mens versus hacker naar AI versus AI.