Zusammenfassung:
OpenAI gab am 21. Oktober 2026 eine Ankündigung heraus, in der es seine Beteiligung an der Entdeckung und Koordinierung der Behebung von zwei schwerwiegenden Sicherheitslücken in der Programmiersprache PHP bekannt gab. Diese Aktion wird durch das von OpenAI ins Leben gerufene Programm „Patch the Planet“ (Patch des gesamten Internets) gefördert, das Software-Betreuer, Sicherheitsforscher, Cloud-Service-Provider und staatliche Netzwerksicherheitsbehörden zusammenbringt, um gemeinsam die Risiken zu reduzieren, die durch Schwachstellen in der globalen Internet-Infrastruktur entstehen.
OpenAI erklärte, dass fortschrittliche Modelle der künstlichen Intelligenz in der Lage seien, Software-Sicherheitslücken mit vielfältigen Auswirkungen zu entdecken, und dass die Frage, wie diese Erkenntnisse schnell in tatsächliche Schutzmaßnahmen umgesetzt werden könnten, im Bereich der Netzwerksicherheit zu einem immer wichtigeren Thema werde.
Bei diesem Vorfall entdeckte das Sicherheitsunternehmen Calif eine schwerwiegende Sicherheitslücke bei der Verwendung von GPT-5.6 Sol, und das Sicherheitsunternehmen Wiz entdeckte und meldete unabhängig davon zwei damit zusammenhängende Schwachstellen. Das PHP-Wartungsteam ist für die Behebung von Schwachstellen und die Veröffentlichung von Sicherheitsversionen verantwortlich, während OpenAI, Wiz, Cloudflare und andere Partner technische Forschung, technische Unterstützung und Koordination bereitstellen, um relevante Organisationen bei der Vorbereitung auf den Schutz zu unterstützen, bevor Schwachstellen öffentlich gemacht werden.
PHP ist eine Open-Source-Programmiersprache, die häufig in Websites und Netzwerkanwendungen verwendet wird. Eine große Anzahl von Internetdiensten verlässt sich darauf, um Webseitenanfragen, Datenbankoperationen und Hintergrundgeschäftslogik zu verarbeiten. Daher besteht in der untersten Schicht von PHP eine ernsthafte Schwachstelle, deren Auswirkungen sich schnell auf viele Websites, Cloud-Dienste und Unternehmenssysteme ausbreiten können. Beide diesmal entdeckten Schwachstellen werden als kritisch eingestuft und könnten es einem Angreifer ermöglichen, Code aus der Ferne ohne Authentifizierung auszuführen. Das PHP-Entwicklungsteam hat am 21. Oktober eine Fixversion veröffentlicht und fordert Benutzer dringend auf, sofort ein Upgrade durchzuführen.
OpenAI gab an, dass dieser Vorfall die doppelte Rolle der künstlichen Intelligenz im Bereich der Netzwerksicherheit unterstreicht. Einerseits können fortgeschrittene Modelle Forschern dabei helfen, Fehler zu entdecken, die in ausgereifter Software lange Zeit verborgen waren. Andererseits können dieselben Fähigkeiten auch von Angreifern genutzt werden, um schnell Exploit-Tools und Angriffsprogramme zu entwickeln. Daher kann sich das Sicherheitsteam nicht nur darauf konzentrieren, ob die Schwachstelle entdeckt werden kann, sondern muss auch einen effizienten Mechanismus einrichten, um sicherzustellen, dass die Schwachstelle rechtzeitig repariert wird und das Angriffsrisiko so weit wie möglich reduziert wird, bevor die entsprechenden Patches bereitgestellt werden.
OpenAI gab an, dass die Schwachstelle nach derzeitigem Kenntnisstand mit Hilfe fortschrittlicher künstlicher Intelligenz entdeckt wurde, bevor der Angreifer sie entdeckte und ausnutzte. Dadurch gewinnen Software-Betreuer wertvolle Zeit für die Vorbereitung der Verteidigung. Das Unternehmen nennt diese Phase das „Defender’s Window“, das Zeitfenster, in dem Verteidiger Probleme erkennen, Behebungspläne entwickeln und Schutzmaßnahmen ergreifen können, bevor es Angreifer tun.
Dieses Fenster wird jedoch nicht immer vorhanden sein. Da sich die Fähigkeiten von Modellen der künstlichen Intelligenz weiter verbessern, könnte sich die Zeitspanne zwischen der Entdeckung von Schwachstellen und der Entwicklung von Angriffsmethoden allmählich verkürzen. OpenAI ist davon überzeugt, dass die Cybersicherheitsbranche von einem bisher relativ dezentralen Ansatz zur Schwachstellenbehandlung zu einem systematischen Reaktionsmechanismus übergehen muss, der Software-Betreuer, Dienstanbieter, Unternehmensbetreiber und Regierungsbehörden schnell koordinieren kann.
Zu diesem Zweck hat OpenAI einen koordinierten Reaktionsrahmen für schwerwiegende Schwachstellen vorgeschlagen, der hauptsächlich fünf Phasen umfasst.
Zuerst müssen Software-Betreuer, Forscher und wichtige Technologiepartner zusammenarbeiten, um Schwachstellen zu überprüfen, ihren Umfang zu bewerten und Korrekturen zu entwickeln und zu testen. In dieser Phase sollte das Team auch erweiterte Modelle verwenden, um gegnerische Tests durchzuführen, um zu prüfen, ob der Patch den Angriff tatsächlich verhindern kann, und nach möglichen relevanten Schwachstellenvarianten zu suchen, um zu vermeiden, dass nur oberflächliche Probleme behoben werden, aber andere ausnutzbare Pfade übersehen werden.
Zweitens sollte den betroffenen Organisationen ausreichend Vorbereitungszeit eingeräumt werden. Verschiedene Organisationen haben unterschiedliche Schutzaufgaben: Softwareherausgeber müssen möglicherweise Patches auf ältere Versionen portieren, Cloud-Hosting-Dienstleister müssen vorübergehende Abhilfemaßnahmen überprüfen und Netzwerksicherheitsunternehmen müssen möglicherweise im Voraus Erkennungsregeln oder Web Application Firewall (WAF)-Schutzstrategien vorbereiten. OpenAI schlug vor, dass die erforderlichen technischen Informationen schrittweise auf der Grundlage der tatsächlichen Schutzverantwortung jedes Teilnehmers bereitgestellt werden sollten und dass das Risiko von Datenlecks durch Vereinbarungen zum Informationsaustausch und spezielle Koordinierungsmechanismen verringert werden sollte.
Drittens ist eine Zusammenarbeit mit staatlichen Cybersicherheitsbehörden erforderlich, um sicherzustellen, dass Betreiber kritischer Infrastrukturen rechtzeitig Warnungen und Schutzempfehlungen erhalten. Bei dem PHP-Schwachstellenvorfall kontaktierten OpenAI und seine Partner mehrere US-Regierungsministerien und Cybersicherheitsbehörden, darunter die Super Intelligence Task Force des Weißen Hauses, das Büro des National Cyber Director und die Cybersecurity and Infrastructure Security Agency (CISA), und stimmten sich mit internationalen Partnern ab.
Viertens sollte der Umfang der Beteiligung ausgeweitet werden, nachdem sich der Fixplan und der Offenlegungsplan stabilisiert haben, um mehr Softwareherausgebern, Cloud-Service-Providern, Hosting-Service-Providern und Unternehmenssicherheitsteams die Möglichkeit zu geben, Updates im Voraus vorzubereiten. Für Unternehmen, die noch ältere Softwareversionen verwenden und die neuesten Patches nicht direkt installieren können, müssen sie auch die Machbarkeit eines Rollbacks von Patches oder anderer vorübergehender Schutzmaßnahmen prüfen.
Fünftens sollten der Öffentlichkeit nach der offiziellen Veröffentlichung des Patches klare Reparaturrichtlinien zur Verfügung gestellt werden, damit Benutzer bestätigen können, ob ihre Systeme betroffen sind, welche Version installiert werden sollte und wie sie überprüfen können, ob die Reparatur wirksam ist. Der gesamte Reaktionsprozess endet nicht sofort mit der Veröffentlichung des Patches. Das Sicherheitsteam muss außerdem die Bereitstellung weiterhin verfolgen und Organisationen, die das Update noch nicht abgeschlossen haben, bei der Behebung tatsächlicher Probleme helfen.
OpenAI wies ausdrücklich darauf hin, dass die Weitergabe von Schwachstelleninformationen im Voraus offensichtliche Probleme mit sich bringt. Einerseits benötigen Cloud-Service-Provider, Netzwerksicherheitsanbieter und Betreiber kritischer Infrastrukturen ausreichende technische Details, um Schutzmaßnahmen wirksam vorbereiten zu können. Andererseits können selbst begrenzte Schwachstelleninformationen Angreifern dabei helfen, auf den genauen Ort der Schwachstelle zu schließen. Daher sollten relevante Informationen schrittweise bereitgestellt werden, basierend auf den Schutzpflichten der Teilnehmer, dem Bedarf an Vorbereitungszeit und der Fähigkeit, mit sensiblen Informationen umzugehen.
Der ursprüngliche Offenlegungsplan sollte auch neu bewertet werden, wenn die tatsächliche Ausnutzung der Schwachstelle beginnt, technische Details versehentlich durchsickern oder der öffentliche Patch selbst den Ort der Schwachstelle offenlegt. OpenAI ist davon überzeugt, dass Koordinierungsmechanismen in der Lage sein müssen, sich schnell an veränderte Bedrohungen anzupassen, anstatt mechanisch feste Fristen einzuhalten.
Um mehr Organisationen beim Handeln zu unterstützen, hat OpenAI erklärt, dass es PHP-Versionsprüfungstools bereitstellen wird und plant, unterstützende Codex-Fähigkeiten einzuführen, um Systembetreiber bei der Identifizierung potenziell riskanter PHP-Versionen zu unterstützen und anwendbare Updatepläne auf der Grundlage offizieller PHP- und Dienstanbieterrichtlinien festzulegen. OpenAI aggregiert im Rahmen des „Patch the Planet“-Projekts auch Informationen zur Offenlegung von Sicherheitslücken und Leitfäden zum Schutz, um Administratoren dabei zu helfen, verlässliche Patches zu finden, temporäre Abhilfemaßnahmen zu verstehen und zu überprüfen, ob Updates tatsächlich bereitgestellt werden.
In Bezug auf die Ressourcenunterstützung verspricht OpenAI, im Rahmen des Programms „Daybreak for Frontline Defenders“ einen subventionierten Zugang zu Daybreak-Diensten im Wert von 1 Milliarde US-Dollar bereitzustellen, wobei der Schwerpunkt auf der Unterstützung von Organisationen mit begrenzten Sicherheitsressourcen liegt, die jedoch für kritische Dienstschutzaufgaben verantwortlich sind. Das Unternehmen wird über Codex for OSS außerdem Abonnementunterstützung für Open-Source-Software-Betreuer bereitstellen und Projekte wie die Rust Foundation direkt sponsern, um Ressourcen für Wartungsarbeiten und technische Verbesserungen bereitzustellen.
OpenAI wies darauf hin, dass die Wartungsteams von Open-Source-Softwareprojekten oft nur eine begrenzte Größe haben. Neben der täglichen Entwicklungsarbeit müssen sie auch Sicherheitsberichte bearbeiten, die Auswirkungen von Schwachstellen ermitteln, Patches überprüfen und mit mehreren Softwareversionen kompatibel sein. Diese Aufgaben sind zeitaufwändig und künstliche Intelligenz kann dabei helfen, Code zu analysieren, doppelte Berichte zu identifizieren, Tests zu schreiben und Korrekturen zu überprüfen, wodurch die Arbeitsbelastung der Betreuer verringert wird.
Neben der Entdeckung und Behebung einzelner Schwachstellen schlägt OpenAI auch vor, Sicherheitslücken bereits in der Software-Designphase zu reduzieren. Das Unternehmen ist davon überzeugt, dass KI Ingenieuren dabei helfen kann, sicherere Standardeinstellungen zu wählen, Sicherheitsbibliotheken korrekt zu verwenden und gefährliche Codemuster frühzeitig im Entwicklungsprozess zu erkennen.
Eine weitere wichtige Richtung ist die Migration wichtiger Softwarekomponenten in speichersichere Sprachen. Viele kritische Schwachstellen resultieren aus Speicherverwaltungsfehlern, z. B. dem Zugriff auf bereits freigegebenen Speicher oder Pufferüberschreitungen. Durch die Verwendung einer Sprache mit Speichersicherheitsgarantien kann eine große Klasse häufiger Fehler an der Quelle beseitigt werden. Künstliche Intelligenz kann bei der Codemigration hilfreich sein, aber das Verhalten, die Kompatibilität und die Sicherheit nach der Migration müssen noch getestet und professionell überprüft werden.
OpenAI legt außerdem Wert auf formale Verifizierung und stärkere Isolationsmechanismen. Die formale Verifizierung nutzt mathematische Methoden, um zu beweisen, dass ein Programm bestimmte Sicherheitseigenschaften unter expliziten Annahmen erfüllt, und trägt so dazu bei, die Zuverlässigkeit wichtiger Komponenten zu verbessern; Die Sandbox-Technologie kann Software, die nicht vertrauenswürdige Dateien, Bilder oder Medieninhalte verarbeitet, auf eine kontrollierte Umgebung beschränken. Selbst wenn das Programm kompromittiert ist, kann dies die Möglichkeit für Angreifer verringern, das gesamte System weiter zu kontrollieren.
Gleichzeitig erkennt das Unternehmen an, dass die Ausweitung des Einsatzes künstlicher Intelligenz in der Cybersicherheit auch ausgefeiltere Maßnahmen zur Missbrauchsbekämpfung erfordert. OpenAI passt den Sicherheitsklassifikator für Daybreak weiter an, um das Risiko zu verringern, dass das Tool für böswillige Angriffe verwendet wird. Das Unternehmen sagte jedoch, dass zu strenge Beschränkungen auch legitime Sicherheitsforschung behindern können, sodass ein Gleichgewicht zwischen der Öffnung von Verteidigungsmöglichkeiten und der Verhinderung böswilliger Nutzung gefunden werden müsse.
OpenAI fordert schließlich Software-Betreuer, Forscher, Anbieter von Netzwerksicherheitsdiensten und Unternehmensbetreiber auf, zusammenzuarbeiten, um dieses Framework zu verbessern. Das Unternehmen hofft, sich auf mehrere Themen konzentrieren zu können: Wie viel Zeit sollte den Verteidigern zur Vorbereitung eingeräumt werden, bevor eine Schwachstelle öffentlich wird? wenn kritische Schwachstellen im Voraus offengelegt werden können; Welche Organisationen müssen im Voraus benachrichtigt werden? und wie man Rollback-Patches und Sicherheitsalternativen zuverlässig bereitstellt, wenn ein Upgrade älterer Softwareversionen nicht zeitnah durchgeführt werden kann.
OpenAI schlug auch ein umstritteneres Zukunftsszenario vor: Internetsysteme könnten nach und nach einen kontinuierlichen Schwachstellen-Scan-Mechanismus einrichten, Website-Eigentümer benachrichtigen, wenn bekannte Schwachstellen entdeckt werden, und sogar das System mit entsprechender Autorisierung direkt patchen. Diese Art von Ansatz beinhaltet jedoch Systembesitz, Verwaltungsberechtigungen, Risiken von Fehlbedienungen und Verantwortungsgrenzen, und es müssen noch strenge technische und Governance-Garantien festgelegt werden.
Dieser PHP-Schwachstellenvorfall zeigt, dass künstliche Intelligenz die Funktionsweise der Netzwerksicherheit verändert. In der Vergangenheit erforderte die Entdeckung, Analyse, Reparatur und groß angelegte Bereitstellung schwerwiegender Schwachstellen oft eine langfristige Koordination zwischen mehreren Teams; Heutzutage können fortschrittliche Modelle die Schwachstellenforschung beschleunigen, aber der wirkliche Schutz des Internets hängt immer noch davon ab, ob Software-Betreuer, Cloud-Dienstleister, Unternehmen und Regierungsbehörden schnell handeln können.
Für OpenAI ist „Patch the Planet“ nicht nur eine Notfallreaktion auf PHP-Schwachstellen, sondern auch eine Übung zur Erforschung eines koordinierten Mechanismus zur Offenlegung von Schwachstellen im Zeitalter der künstlichen Intelligenz. Da die Fähigkeit der künstlichen Intelligenz, Sicherheitslücken zu entdecken, immer weiter zunimmt, liegt der Schlüssel zum Cybersicherheitswettbewerb in der Zukunft möglicherweise nicht mehr nur darin, die Schwachstelle zuerst zu finden, sondern darin, wer das Problem schneller überprüfen, den Code reparieren und betroffene Systeme auf der ganzen Welt rechtzeitig schützen kann.
Verwandte Artikel:
PHP hat schwerwiegende Sicherheitslücken aufgedeckt und globale Website-Betreiber sind dringend in den Patching-Status eingetreten
Zwei schwerwiegende Schwachstellen können zur Remotecodeausführung auf dem offiziellen PHP-Notfall-Sicherheitspatch des Servers führen
Kommentare