KI findet die Lücken schneller

Am 4. November beschrieb OpenAI einen Durchlauf von KI-Agenten gegen den Linux-Kernel, die Software, auf der Android-Telefone, Cloud-Infrastruktur und Supercomputer beruhen. In rund zehn Tagen ab Mitte Oktober erstellten die Agenten funktionierende Exploits für 948 verschiedene Schwachstellen, von denen jede aus einem gewöhnlichen Benutzerkonto die volle Kontrolle über eine Maschine machen konnte, und schrieben für jede einen Patch-Vorschlag. Eine Woche zuvor hatte Google Gemini 4 Carbon angekündigt und es zuerst geprüften Cyberverteidigern gegeben. Die Zeit, die zwischen dem Bestehen einer Schwachstelle und ihrer Entdeckung vergeht, schrumpft, und die Labore wollen, dass die Verteidiger zuerst da sind.

Was OpenAI laufen liess

Die Pipeline hatte fünf Stufen und lief auf einem Cybermodell, das OpenAI am 5. November als GPT-6 Cyber veröffentlichte. Späher-Agenten wählten 5'034 Teile des Kernels aus, die eine Prüfung lohnten, rund 7 Prozent seines Codes. Analyse-Agenten machten daraus in 12 Stunden 2'308 mögliche Befunde. Triage-Agenten versuchten, jeden davon in einer isolierten Maschine nachzustellen, was bei 1'724 gelang, rund drei Vierteln, und laut OpenAI beruhten nur 3,1 Prozent der Befunde auf einer falschen Analyse. Spätere Stufen testeten, welche Schwachstellen sich ausnutzen liessen, und schrieben Patches, und Menschen prüften die Ergebnisse, bevor etwas gemeldet wurde.

Der Durchlauf kostete 1'213'430 Dollar an API-Guthaben, also rund 1'279 Dollar pro Exploit. Auf den Zielsystemen lief ein gewöhnliches Desktop-Linux mit den üblichen Schutzmechanismen. Ein Durchlauf im Juli mit einem früheren Modell, GPT-5.6 Sol, hatte 166 solche Schwachstellen gefunden. Das neuere Modell fand mehr als fünfmal so viele, obwohl der Kernel in der Zwischenzeit drei Monate lang gehärtet worden war.

Was die Labore über Grenzen sagen

OpenAI ist offen darüber, wo es danebenlag. In einem frühen Durchlauf meldete die Pipeline 200 erfolgreiche Exploits, und eine Prüfung durch Menschen ergab, dass 20 davon die volle Kontrolle über eine andere, unbekannte Schwachstelle erreicht hatten als über die zugewiesene. «Das deutet darauf hin, dass selbst eine erfolgreiche Ausnutzung durch Agenten eine sorgfältige Validierung braucht», schrieb OpenAI und fügte eine unabhängige Prüfung hinzu, ob jeder Exploit die ihm zugewiesene Schwachstelle nutzte. Die Lehre daraus gilt für jede automatisierte Arbeit: «Prüfen Sie den Weg zu einem Ergebnis zusätzlich zum Ergebnis selbst.»

Auch die Patches brauchten Nacharbeit. Die ersten funktionierten, fügten aber manchmal unnötigen Code hinzu, missachteten lokale Konventionen oder übersahen Varianten derselben Schwachstelle, bis zusätzliche Anweisungen und weitere Iterationen sie verbesserten. OpenAI nennt seine Kostenangaben «eher eine Obergrenze». Alle diese Zahlen stammen von OpenAI selbst. Bis zum 5. November hatten wir weder eine unabhängige Prüfung noch eine öffentliche Stellungnahme der Kernel-Maintainer zu dieser Serie gefunden.

Verteidiger zuerst

Googles Ankündigung vom 28. Oktober folgt demselben Muster. Google nennt Gemini 4 Carbon «unser stärkstes Modell mit Fähigkeiten auf dem neuesten Stand in Cybersicherheit und bei langen Aufgabenhorizonten» und meldet 88,2 Prozent auf SEC-bench Pro für das Finden von Schwachstellen, 54,8 Prozent auf ExploitGym und 71,0 Prozent auf CWE-bench für das Patchen, alles eigene Zahlen von Google, gemessen ohne Schutzvorkehrungen. Der Zugang beginnt mit einem Teil der Cyberverteidiger und wird schrittweise über das Fairwind Program ausgeweitet, das laut SecurityWeek mehr als 650 Teilnehmende zählt, darunter Regierungen und Betreiber kritischer Infrastruktur. Eine Version für Entwickler, Unternehmen und Konsumenten wird «so bald wie möglich» versprochen, ohne Datum.

Anthropic hat dieses Muster im April mit Mythos vorgegeben, und OpenAI folgt ihm. GPT-6 Cyber geht zuerst an eine ausgewählte Gruppe zugelassener Kunden von Daybreak Red, dem Programm von OpenAI für autorisierte Sicherheitstests, und OpenAI stuft das Modell unter seinem eigenen Preparedness Framework in der Cybersicherheit auf der Stufe Critical ein. Die Ankündigung sagt, warum: «Es ist klar, dass wir nur ein begrenztes Zeitfenster haben, um Software mit Frontier-Modellen abzusichern.»

Die Seite der Maintainer

Jeder Befund landet bei jemandem, der ihn beheben muss. Im März sagte Greg Kroah-Hartman, ein leitender Kernel-Maintainer, gegenüber The Register, Meldungen, die mit KI erstellt wurden, seien etwa einen Monat zuvor von Schrott zu echten Funden umgeschlagen: «Jetzt haben wir echte Meldungen.» Im Mai schrieb Linus Torvalds, «die anhaltende Flut von KI-Meldungen hat die Sicherheitsliste im Grunde fast völlig unbeherrschbar gemacht», weil viele Leute mit denselben Werkzeugen dieselben Fehler finden. Sein Rat an Meldende: «Wenn Sie einen Fehler mit KI-Werkzeugen gefunden haben, ist die Wahrscheinlichkeit gross, dass ihn auch jemand anderes gefunden hat.» Im Juli veröffentlichte das Kernel-Team an einem einzigen Sonntag und Montag 432 CVEs.

Während der Scan von OpenAI lief, behoben Maintainer und andere Mitwirkende bereits viele derselben Schwachstellen: Nach zehn Tagen waren 61 upstream gepatcht, für 43 lagen Patches bereit, und 299 wurden öffentlich diskutiert. OpenAI sagt, es habe sich an die Vorgaben der Kernel-Community gehalten und bisher 304 kritische Befunde mit Patch-Vorschlägen offengelegt. Aus unserer Sicht ist die knappe Ressource jetzt die Aufmerksamkeit derer, die Korrekturen prüfen, testen und freigeben.

Was ein Unternehmen tun kann

Die meisten Unternehmen betreiben schlicht die Software, die diese Korrekturen erhält, oft in grossen Paketen. OpenAI zieht den Schluss selbst: Vorerst sei ein Konto mit wenigen Rechten auf einem System, das «nicht auf dem neuesten Stand der verfügbaren Patches ist, für einen gut ausgestatteten Angreifer als funktional gleichwertig mit Root-Zugriff zu betrachten». Daraus folgen aus unserer Sicht vier Dinge.

Patchen Sie schneller, und wissen Sie, was Sie betreiben. Jan Schaumann, Chief Information Security Architect bei Akamai, schrieb im Juli, einzelne Änderungen am Kernel zu priorisieren, sei nicht mehr machbar, und sagte gegenüber The Register, «automatisierte, regelmässige und häufige Updates» schienen der einzig vernünftige Ansatz, so schwierig sie für grosse Organisationen auch seien. Dafür braucht es eine aktuelle Liste aller Server, Geräte und Dienste und dazu, wer jeweils für die Updates zuständig ist.

Wählen Sie Lieferanten, die schnell patchen, und fragen Sie, wie lange eine kritische Korrektur braucht, bis sie bei Ihnen ankommt. Fragen Sie Ihre Softwareanbieter, wie sie diese Modelle nutzen: ob sie ihren eigenen Code scannen, wie sie prüfen, was die Modelle melden, und ob sie an Programmen wie Daybreak oder Fairwind teilnehmen.

Halten Sie sensible Daten in Systemen, die Sie kontrollieren, mit Zugriff nach Rolle, damit eine Schwachstelle im Dienst eines anderen weniger preisgibt. Kontrolle hebt die Pflicht zum Patchen nicht auf, sie macht sie zu Ihrer eigenen. OpenAI empfiehlt zudem Sandboxes und Isolation, um den Schaden zu begrenzen, wenn etwas ausgenutzt wird.

Wo wir stehen

Wir bauen keine Sicherheitsscanner. Unser Teil ist der letzte Punkt auf dieser Liste. Twin, bereits live, gibt den Assistenten eines Unternehmens ein gemeinsames Gehirn mit Zugriff nach Rolle, jedem Schreibzugriff unter der persönlichen Anmeldung des jeweiligen Nutzers und einem Protokoll jedes Schritts, gehostet in der Schweiz, der EU, den USA oder auf der eigenen Hardware des Unternehmens. Eigna, im frühen Zugang und gebaut von unserem Partner Eigna Labs, ist ein privates Modell, das in der eigenen Cloud eines Unternehmens oder auf seinen eigenen Servern läuft und dafür ausgelegt ist, in geschlossenen Netzwerken offline zu arbeiten. Wie alles andere, was ein Unternehmen betreibt, müssen beide aktuell gehalten werden.