Das britische National Cyber Security Centre hat eine ungewöhnliche Warnung vor dem ausgesprochen, was als Nächstes kommt. KI ist laut NCSC inzwischen in der Lage, jahrzehntelang verborgene Softwarefehler in einer Größenordnung und Geschwindigkeit aufzuspüren, für die die gesamte Patch-Infrastruktur der Branche nie ausgelegt war.
Das Ergebnis? Eine bevorstehende Flut kritischer Updates über alle Ebenen des Tech-Stacks hinweg – und zwar gleichzeitig. Sie nennen das eine „Patch-Welle“. Organisationen, die nicht vorbereitet sind, werden unvorbereitet getroffen. Genau diesem Problem versucht das NCSC zuvorzukommen. Je mehr KI-Tools diese Fähigkeit erlangen, desto kleiner wird die Lücke zwischen „Fehler entdeckt“ und „Fehler ausgenutzt“ – von Wochen auf Stunden. Die Empfehlungen des NCSC sind eindeutig:
- Zuerst alles priorisieren, was aus dem Internet erreichbar ist, und dann nach innen vorarbeiten
- Automatische Updates aktivieren, wo immer möglich
- Altsysteme, die keine Patches erhalten können, müssen ersetzt und dürfen nicht einfach ignoriert werden
- Davon ausgehen, dass eingehende Updates kritische und nicht routinemäßige Schweregrade haben werden
Die Warnung kam nicht aus dem Nichts. Im April stellte Anthropic Claude Mythos Preview vor – ein Modell, das Software-Schwachstellen so effektiv findet, dass Anthropic sich weigerte, es öffentlich freizugeben. Bei Tests entdeckte es mehr als 2.000 bislang unbekannte Schwachstellen in wichtigen Betriebssystemen und Browsern, darunter einen 27 Jahre alten Fehler in OpenBSD und eine 17 Jahre alte Schwachstelle zur Remote-Code-Ausführung in FreeBSD. Mehr als 99 % der entdeckten Schwachstellen sind bis heute ungepatcht.
Doch die Dringlichkeit wird bereits Realität. In der vergangenen Woche nutzten Forscher des Sicherheitsunternehmens Theori ihr eigenes KI-Tool, um den kryptografischen Code von Linux zu untersuchen. Das dauerte etwa eine Stunde. Was sie fanden – sie nannten es „Copy Fail“ – verschafft Hackern vollständigen Root-Zugriff auf jede wichtige Linux-Distribution, die seit 2017 ausgeliefert wurde. Ein Skript mit 732 Byte. Hundertprozentige Zuverlässigkeit. Eine Lösung existiert, doch die Details zum Exploit wurden öffentlich, bevor alle Distributionen Patches veröffentlicht hatten.
Warum das wichtig ist
Sie betreiben keinen Server. Sie verwalten keine Patches. Doch Ihr Gehalt, Ihre Krankenakten und Ihre Steuerdaten befinden sich allesamt auf Systemen, die genau das tun.
Diese Systeme wurden unter der Annahme entwickelt, dass Fehler langsam und einzeln von Menschen entdeckt werden. Diese Annahme hat sich gerade als falsch erwiesen. Anthropic zufolge sind mehr als 99 % dessen, was Mythos gefunden hat, weiterhin ungepatcht. Copy Fail ist nur ein Beispiel dafür, was passiert, wenn dieses Zeitfenster zu lange offen bleibt. Die Schwachstellen sind bekannt. Die Uhr läuft. Die einzige Frage ist, wer sie als Nächstes entdeckt.
Anmerkung der Redaktion: Dieser Beitrag erschien ursprünglich im Newsletter unserer Schwesterpublikation The Neuron. Weitere Beiträge von The Neuron können Sie hier für den Newsletter abonnieren.