Zusammenfassung:
Laut der New York Times entdeckt KI Sicherheitslücken in Software in einem beispiellosen Tempo, und die für deren Behebung verantwortlichen Ingenieure haben zunehmend Schwierigkeiten, mitzuhalten. Technologieunternehmen und Open-Source-Software-Betreuer beeilen sich, die Schwachstellen zu schließen, bevor Hacker sie ausnutzen können, um die Software zu schützen, die einer Vielzahl von Websites und Online-Diensten zugrunde liegt.
Am 21. Oktober hatte Fouad Matin, der für die Vorbereitung und Sicherheitsarbeit der OpenAI-Netzwerksicherheit verantwortlich ist, ursprünglich geplant, am Abend seinen Geburtstag mit Freunden zu feiern.
Aber an diesem Tag schlief er nur etwa zwei Stunden und war damit beschäftigt, die Behebung zweier schwerwiegender Sicherheitslücken zu koordinieren, die von der KI entdeckt wurden. Sobald diese Schwachstellen ausgenutzt werden, können sie Auswirkungen auf eine Vielzahl von Internetdiensten haben. Zu den an der Verarbeitung Beteiligten gehören Sicherheitsforscher von Startups und Technologiegiganten sowie Regierungsbeamte in den USA und anderen Ländern.
Auf seiner To-Do-Liste stehen weitere von der KI entdeckte Lücken, die darauf warten, behoben zu werden.
Mateen sagte, dass OpenAI mehrere Teams zusammengestellt habe, die für die Netzwerksicherheit verantwortlich seien, und viel Rechenleistung investiert habe, um Probleme zu finden und zu beheben. Er ist davon überzeugt, dass KI-Unternehmen die Verantwortung haben, die von dieser Technologie aufgedeckten Risiken anzugehen, mit dem ultimativen Ziel, die Software der Welt so weit wie möglich zu scannen und zu patchen.
Die Geschwindigkeit, mit der Schwachstellen entdeckt werden, ist erheblich gestiegen, was einen beispiellosen Druck auf diejenigen ausübt, die die Schwachstellen beheben.
Laut OpenAI begann das Unternehmen im Mai dieses Jahres damit, seine eigene Technologie zum Scannen von Open-Source-Software einzusetzen. Seitdem haben interne und externe Forscher mithilfe seines Modells mehr als 1.300 Schwachstellen entdeckt. Diese Art von Software kann kostenlos genutzt werden, wird häufig in verschiedenen Netzwerkdiensten eingesetzt und unterstützt zahlreiche Funktionen des Internets.
Google nutzte im Juni dieses Jahres außerdem KI, um 1.072 Schwachstellen im Chrome-Browser zu entdecken und zu beheben, was die Gesamtzahl übersteigt, die in den beiden Jahren zuvor behoben wurde. Seit Anfang dieses Jahres hat Chrome mehr schwerwiegende Schwachstellen behoben als in den acht Jahren zuvor zusammen.
Allein im Oktober dieses Jahres veröffentlichte Microsoft 1.461 Patches und übertraf damit die 1.247 Patches für das gesamte Jahr 2025.
In den Augen einiger Software-Betreuer hat diese Arbeitsintensität möglicherweise gerade erst begonnen.
Matteo Collina ist Chief Technology Officer des Startups Platformmatic und an der Pflege des Open-Source-Entwicklungstools Node.js beteiligt. Technologieunternehmen wie Uber und Netflix nutzen dieses Tool.
„Was jetzt passiert, ist nur der Anfang, und die Situation wird zehnmal schlimmer sein.“ sagte Colina.
Laut der OpenJS Foundation, einer gemeinnützigen Organisation, die Node.js unterstützt, hat Node.js in diesem Jahr 50 Sicherheitslücken identifiziert und behoben, mehr als jedes Jahr in seiner Geschichte. Im Februar dieses Jahres erhielt das Projekt 4,6-mal so viele Schwachstellenberichte wie üblich.
Diesen Monat kontaktierte OpenAI erneut Colina, um ihn auf eine neu entdeckte Schwachstelle aufmerksam zu machen. Potenzielle Angreifer können damit in Systeme im Internet eindringen und Daten stehlen.
Um die steigende Zahl an Meldungen bewältigen zu können, arbeitet Colina nun sieben Tage die Woche und lässt den KI-Agenten auch nachts weiterhin Aufgaben für ihn erledigen.
„Niemand weiß, wie dieser Beruf in Zukunft aussehen wird.“ Er sagte.
In der Vergangenheit war das Auffinden von Software-Schwachstellen eine Aufgabe, die stark auf persönlicher Erfahrung beruhte. Technologieunternehmen beauftragen Sicherheitsforscher mit der Überprüfung von Codes und bezahlen außerdem White-Hat-Hacker dafür, Probleme mithilfe von „Bug-Bounty“-Programmen zu finden und zu melden.
KI verändert die Geschwindigkeit und den Wert dieser Arbeit.
Es kann weitersuchen und dort weitermachen, wo menschliche Forscher vielleicht aufgegeben hätten. Es kann auch kleine Fehler untersuchen, die über verschiedene Codes verteilt sind, und sie zu gefährlichen Angriffen kombinieren.
Volker Dusch, Sicherheitsingenieur bei der PHP Foundation, spürt das deutlich. Die Stiftung, die die Programmiersprache PHP verwaltet, hat letzte Woche eine schwerwiegende Schwachstelle offengelegt, die von KI entdeckt wurde.
Dusch sagte, vor zwei Jahren sei die Entdeckung einer Sicherheitslücke eine große Sache gewesen. Mittlerweile schwindet die damit verbundene Anerkennung unter Fachkollegen, und die Art und Weise, wie die gesamte Branche diese Arbeit bewertet, verändert sich.
Allerdings bringt die Zunahme der Schwachstellenmeldungen auch eine erhebliche zusätzliche Belastung mit sich.
Seit Ende letzten Jahres stellen Entwickler von Open-Source-Software einen deutlichen Anstieg der Anzahl der Meldungen fest. Einige von ihnen enthüllen ernsthafte Bedrohungen, andere sind KI-generierte Berichte von geringer Qualität, die verwirrend und ungetestet sind.
Ende Januar dieses Jahres kündigte das Open-Source-Projekt Curl an, dass es keine Fehlerprämien mehr auszahlen werde, da es den Zustrom an Meldungen nicht bewältigen könne.
Gleichzeitig machen die Offensivfähigkeiten der KI auch die Verteidiger zunehmend nervös.
Im April dieses Jahres erklärte Anthropic, dass das von ihm entwickelte Mythos-Modell über starke Hacking-Fähigkeiten verfüge und nicht sicher der Öffentlichkeit zugänglich gemacht werden könne. Anschließend stellte das Unternehmen das Modell einer Gruppe vertrauenswürdiger Unternehmen und Regierungsbehörden zur Verfügung, um Systeme über ein Programm namens Project Glasswing zu überprüfen und zu patchen. OpenAI und Google stellen Verteidigern auch auf Cybersicherheit ausgerichtete KI-Modelle zur Verfügung.
Aber Modelle, die Schwachstellen finden und ausnutzen können, werden zunehmend verfügbar.
Das KI-Bewertungsunternehmen Vals AI hat kürzlich eine simulierte Angriffsaufgabe eingerichtet, bei der das Modell in ein fiktives Unternehmen eindringen muss. Die Testergebnisse zeigten, dass ein erweitertes Modell von OpenAI, das nur zugelassenen Verteidigern offen steht, 81 % der Testziele erfüllte; Dicht gefolgt von einem frei verfügbaren Modell des chinesischen Unternehmens DeepSeek mit einer Abschlussquote von 73 %.
Da sich solche Fähigkeiten immer weiter ausbreiten, beschleunigen Sicherheitsteams im Silicon Valley die Ermittlungen. Sie befürchten, dass die gleiche Schwachstelle bald von Angreifern entdeckt werden könnte.
Ein PHP-Reparaturprozess zeigt, auf wen genau dieser Druck trifft.
Im Juli dieses Jahres begannen Forscher des Cybersicherheitsunternehmens Calif damit, KI-Agenten PHP prüfen zu lassen. Berichten zufolge verwenden etwa 70 % der Websites diese Programmiersprache. Ein Forschungsteam hat herausgefunden, dass eine Sicherheitslücke, die seit mehr als einem Jahrzehnt im Code verborgen war, es Angreifern ermöglichen könnte, Schadcode auf betroffenen Websites auszuführen.
Calif kontaktierte daraufhin Dusch und Forscher von Wiz, einem Google-eigenen Sicherheitsunternehmen, das ähnliche Schwachstellen entdeckte. Beteiligt sind auch Ingenieure von OpenAI und der PHP Foundation.
Das Team arbeitete wochenlang in einem vertraulichen Slack-Kanal zusammen und koordinierte täglich Korrekturen per Telefon. Thai Duong, CEO von Calif, sagte, dass der Fix etwa 200 Dateien betreffe und ein umfangreiches Patch-Update sei.
Während der Vorbereitung des Patches haben sie auch Regierungsbehörden, das Internet-Infrastrukturunternehmen Cloudflare und andere Organisationen benachrichtigt, in der Hoffnung, den Reparaturumfang so weit wie möglich auszuweiten.
Der Zeitraum, in dem die Schwachstelle gefunden, aber nicht umfassend behoben wurde, ist für die Teilnehmer zur stressigsten Phase geworden.
Matthew Prince, CEO von Cloudflare, sagte, er habe die letzten zwei Monate in einem Zustand extremer Angst verbracht, dass jemand anderes die Schwachstelle frühzeitig entdecken würde oder dass Informationen durchsickern würden, bevor ein Patch bereit sei.
Er prognostiziert, dass in den nächsten zwei Jahren durchschnittlich jede Woche eine schwerwiegende Sicherheitslücke auftreten wird, die das gesamte Internet betrifft.
In der Sicherheitsbranche gibt es unterschiedliche Urteile über die nächste Situation.
Der stellvertretende Chief Information Security Officer von Anthropic, Jason Clinton, sagte am 22. Oktober in den sozialen Medien, dass die Situation in den letzten vier Tagen zwar schlecht war, sich aber in Zukunft noch verschlimmern wird, bevor sie sich möglicherweise bessert.
Prince glaubt, dass die Aufdeckung dieser seit langem bestehenden Probleme das Internet letztendlich sicherer machen wird. Er prognostiziert, dass die nächsten zwei Jahre sehr schlecht sein werden, aber nach Abschluss dieser Reparaturrunde können die Menschen mit einem viel sichereren Internet rechnen.
Kommentare