News Cybersicherheit: Claude Mythos behebt 271 Schwachstellen in Firefox

[flaphoschi]

Das kannst du a den Release Notes ablesen. Du kannst dir sicher sein das Microsoft und Google das Tool auf ihre Codebase loslassen

Microsoft hat sowieso keine Engine mehr. Browserkrieg verloren.

 

[Pyrukar]

Na mal sehen wie viele von diesen Sicherheitslücken in den Nächsten Wochen und Monaten noch in anderen Programmen rauskommen und wie viele davon als Backdoor für diverse Geheimdienste verwendet wurden/werden kein Wunder das die US Behörden da den Fuß in der Tür haben (wollen)

 

[steirerblut]

Najo, Mythos hämmert hier ja "nur" gegen die Rendering Engine Gecko (Kein sandboxing, keine Isolation, RCE geht eiskalt durch). Die 200 Lücken wirst in jeder Software ohne Isolierung finden. Schon ein gewisser Marketing Stunt, aber trotzdem wichtig das es angegangen wird; vor allem weil Firefoxs Sandbox ja generell Schwächer als zB bei Chromium ist.
Zum GPT4 Release wurde auch das Ende aller Cybersicherheit versprochen, aber die Welt hat sich weiter gedreht. Damals waren nur alle Traurig weil sie ihren alten GPT Buddy verloren hatten.

 

[flaphoschi]

Vor ~10 Jahren sagte man, dass es einen Fehler pro 1.000 Zeilen Quellcode gibt. Aber nehmen wir mal an, dass die Codequalität mittlerweile so weit gestiegen ist, dass ein Fehler nur noch alle 10.000 Zeilen Code vorkommt.

Ich habe eben das Firefox-Repo geklont und lasse ein Tool die Anzahl der Quellcodezeilen zählen. Ich melde mich zurück, was raus gekommen ist.

Nachtrag:
Hier ist das Ergebnis.

[krik@krix test]$ cloc firefox/
  387153 text files.
  360265 unique files.                                       
   41781 files ignored.

github.com/AlDanial/cloc v 2.08  T=126.53 s (2847.4 files/s, 459092.6 lines/s)
---------------------------------------------------------------------------------------
Language                             files          blank        comment           code
---------------------------------------------------------------------------------------
JavaScript                           96502        1506316        2236169        8290316
C++                                  14584         981210         829095        5678475
HTML                                118022         565314         133221        5336281
Text                                  5016          90962              0        4685331
Rust                                 13696         413785         816135        4194304
C/C++ Header                         21050         732769        1224040        3571075
JSON                                  4259            974              0        2986322
C                                     4005         388768         638550        2816269
Python                                9787         315664         348417        1261400
XML                                   8648          34829         368308         928578
INI                                  25786         381586            150         841260
Kotlin                                5420         114114          95451         658227
YAML                                  3362          23251          15100         543758
Assembly                               575          42032          37240         439965
TypeScript                            1839          45810          50274         387291
Markdown                              2459          77524            918         215491
XHTML                                 3363          22672           7790         191920
Pascal                                  32           1568          34250         178344
TOML                                  2658          39441          10157         162102
NAnt script                           2600          50769              0         162039
SVG                                   5261           8989          20108         159424
CSS                                   1444          25009          12502         153712
reStructuredText                      2232          93725         144353         118571
IDL                                   1226          16259              0         112835
Java                                   504          16424          30856          98282
diff                                   671           8283          41992          88288
Bourne Shell                           714          12961          14767          78593
Freemarker Template                    389          13893              0          78195
Objective-C++                          355          14574          10864          71587
JSX                                    336           5865           2411          52886
GLSL                                  1478          10580          10727          34888
Windows Module Definition               55            310           1601          26511
CSV                                      8              0              0          25042
CMake                                  143           2897           3668          21810
make                                   334           5166           6961          19285
SCSS                                    80           3044            832          14302
BitBake                                 60            912            395          12541
Perl                                    60           2710           2841          12419
PHP                                     51            844           1277          11816
DTD                                     22           2738           6668          11298
Starlark                                44            871            700          11272
Objective-C                             89           2071           1223           9587
Gradle                                 190           2131           1439           8575
Properties                             130           1990           5634           5828
m4                                      16            602            204           5283
Jinja Template                          42            522            107           4500
C#                                      20            470            231           3844
Meson                                   14            480            342           3427
Protocol Buffers                        50           1292           3824           3213
Cython                                  13            419            214           3110
Swift                                   61            577            526           2966
.NET IL                                  4             68              2           2419
Windows Resource File                   71            586            608           2413
yacc                                     2            383            348           1919
DOS Batch                               36            340            207           1869
MSBuild script                           7              0              0           1731
Dockerfile                              76            399            253           1696
Gencat NLS                               7            133              0           1469
SWIG                                     3            281             77           1362
Vuejs Component                         44             78             22           1353
Bourne Again Shell                      26            239            373           1338
SQL                                      4             49             87           1263
Ruby                                    15            275            120           1003
Visual Studio Solution                  13             12             13            995
LLVM IR                                  1             74              0            719
lex                                      4            149            207            686
WGSL                                    13            141            166            614
MATLAB                                   9            130             85            586
XSLT                                    28             82             17            560
Korn Shell                               5             83            165            526
Elm                                      2            114             29            399
HLSL                                     3            121            123            391
Go                                       2             72            103            326
Lisp                                     2             42             38            258
Handlebars                               8              5              0            247
Bazel                                    3             31            128            237
PowerShell                               3             16              5            197
Visual Basic                            13              1              0            150
Svelte                                   4             31              2            141
XSD                                      1             15             19            113
AsciiDoc                                 2             38              0            108
awk                                      2             16              4            106
VSCode Workspace                         1              7              5            104
JSON5                                    1              0              6            103
Ant                                      3             42            133             89
WebAssembly                             55              4              0             84
WiX source                               1             11             25             73
sed                                      6             13             27             72
Groovy                                   1              2              0             51
Flatbuffers                              1             23             51             45
Mako                                     1              0              0             31
Nix                                      1              2              1             25
ProGuard                                 9             34            132             23
TNSDL                                    5             10             20             23
Justfile                                 1              1              0             17
Containerfile                            1              9              0             16
CoffeeScript                             2              7              4             13
R                                        1              8             18             12
C Shell                                  1              1              0             11
D                                        1              4             21              8
Cucumber                                 1              3              0              6
Elixir                                   1              0             37              6
Linker Script                            1              0              0              5
Stylus                                   1              2              0              5
Expect                                   1              1              3              1
---------------------------------------------------------------------------------------
SUM:                                360265        6090154        7176216       44820655
---------------------------------------------------------------------------------------

Firefox hat aktuell knapp 44,8 Mio. Zeilen Code. Da verstecken sich also wahrscheinlich noch zehntausende Fehler, die bislang noch keiner entdeckt hat. Natürlich sind nicht alle davon sicherheitskritisch.

Browser sind das schlimmste und es hilft nicht wenn man zu C/C++ noch zahlreiche andere Sprachen anflanscht. Wobei die dafür viel anfälliger sind als Bibliotheken, Kernel oder thematisch fokussierte Anwendung. Zum Quellcode gehört nicht nur Rust, auch JavaScript (PDF).

Und Browser ohne JavaScript wären sowieso besser. Vor allem wären Webbrowser sicherer. Aber die Damen und Herren - bei Google - haben beschlossen, dass jetzt jeden Monat mehr und mehr und mehr Features dran müssen. Umlautdomains sind so ein epischer Fail und ein Beispiel. USB-Zugriff auch.

 

[KeinNutzerName]

Merkt es sich schon Schwachstellen für den nächsten Ausbruch?

Deine Frage macht mich stutzig. Ich dachte Internet-Kommunikationsmittel, zum Kontakt nach Außen, sind im Haftraum (Gefängniszelle) verboten * laut lach* Sorry

 

[Pitt_G.]

@ETI1120 heisst Fehler 40 hat hier aber nix damit zu tun.

wenn ChatGPT einen Debug Auszug will, dann behauptet den Fehler gefunden zu haben und dann damit konfroniert wird dass dies doch nicht zum gewünschten Ergebnis geführt hat, so tut als ob es das im gleichen Chatverlauf nicht so dargestellt hat dann ist das ein Armutszeugnis.

Ein AI Blender sozusagen.

v.A. in einem dermassen von sich überzeugten Tonfall, dass man keinen weiteren Kontakt haben möchte.

 

[Krik]

@Pitt_G.
Das klingt nach einem Bedienfehler. Man kann die meisten KIs anweisen, wie es sich einem gegenüber verhalten sollen. Bei mir ist ChatGPT z. B. extrem nüchtern konfiguriert. Es hält keinen Smalltalk, bringt keine Witze, etc.

Es ist tatsächlich eine Kunst, die KI mit den richtigen Anweisungen zu füttern, sodass sie so arbeitet, wie man sich das wünscht. Dazu kommt, dass die Bezahlvarianten deutlich besser als die kostenlosen sind.

 

[CPat]

warum sind meine Erlebnisse mit AI ehr bescheidener Natur, vom eingebildeten ChatGPT, der Buzzword Bingo spielt, bis zu Google

Wir wissen halt nicht, wie viele Schwachstellen insgesamt 'gefunden' wurden, damit am Ende 271 echte dabei raus kamen.

Die Chatbots machen problemlos Quantität. Riesige Texte, endlos Bilder, viele Schwachstellen.
Wenn man prüft, hat der Text halt Falschinformationen, die Gesichter Ohren auf der Stirn und die Schwachstellen - da wissen wir es nicht, können aber Parallelen ziehen.

 

[Zweite Sonja]

Was unterscheidet den Browser Firefox von sonstiger Alltagssoftware?

Ich würde sagen die Reichweite und damit das potentielle Risiko.

Ein Firefox nutzen mit Sicherheit mehr Menschen als eine regionale Bahn App, Parkhaus App, Aldi was auch immer App, etc.

Mehr Nutzer = mehr Fachleute / Kriminelle = höhere Wahrscheinlichkeit Lücken zu finden / auszunutzen.

 

[Fegr8]

Firefox hat aktuell knapp 44,8 Mio. Zeilen Code. Da verstecken sich also wahrscheinlich noch zehntausende Fehler, die bislang noch keiner entdeckt hat. Natürlich sind nicht alle davon sicherheitskritisch.

@flaphoschi

Naja du hast jetzt in diesem Repo auch die ganzen Testing- und Installationstools drinnen die nur beim Testing oder Installation relevant sind, da reduziert sich einiges von den Sprachen die da aufgelistet sind und die Code-Menge! Aber ja es sind trotzdem noch ein zweistelliger Milllionen an Code die dann laufen!
Und auch totes Code!

Beispiel DTD, ist garnicht mehr relevant und wird in der Laufzeit überhaupt nicht mehr verwendet, aber haben es bis heute nicht geschaft es "sauber" rauszupatchen. Die kommen gerade nicht hinterher das alte abgeschaltete Zeug aus der Repo sauber rauszuimplementieren, ohne das beim "Builden" wieder meckert das ein Pfad oder Verweis fehlt! Da gibt es auch halt einige Dummy-Files! Python2 existiert auch noch irgendwie im Testing-Tools ist aber nicht kritisch für den normalen Nutzer, da dort Firefox 0 Python2 Code hat!

 

[JustAnotherTux]

Und Browser ohne JavaScript wären sowieso besser.

Und als Alternative nehmen wir dann was für Websites welche nicht einfach nur statischen content haben?

 

[Kaufmannsladen]

Was unterscheidet den Browser Firefox von sonstiger Alltagssoftware?

200 Millionen Menschen, die damit auf das Internet zugreifen, wozu bekanntlich auch so kleine Dinge wie Office, Online-Banking und Shopping gehört. Gibt nicht viele Apps mit solch einer Relevanz.

 

[CHB68]

@Kaufmannsladen 200 Millionen? Das war 2020 vielleicht noch so. Die Zahlen sinken kontnuierlich und lagen 2025 bei rund 150 bis 163 Millionen. Meldungen wie diese machen das Ganze zurecht nicht besser.

 

[M-X]

Der Wohl spannendste teil der Aussage von Mozilla ist doch das:

Gleichzeitig betont Mozilla, dass auch Claude Mythos kein Wunderwerk ist und ebenso keine unendlichen Möglichkeiten besitzt – womit bei den Überprüfungen schnell die Realität wieder gegriffen hat. Bei diesen habe sich schnell gezeigt, dass das Modell keine Schwachstellen aufdecken konnte, die nicht auch von menschlichen Experten mit ausreichend Zeit und Ressourcen gefunden worden wären.

Was passiert wenn heute alle Devs und Experten auf LLMs setzen, siehe so Leute wie @chr1zZo die von:

Easy Money.

Reden.

Wenn in Zukunft keiner die Technik mehr versteht werden wir auch nichts mehr neues schaffen. Den offensichtlich können die LLMs das auch nicht.

 

[maikwars]

Ich nutze Claude auch und hab auch Invite für Mythos

Bist du in einer der Firmen von Project Glasswing oder warum hast du eine Einaldung erhalten?

 

[FrAGgi]

Wenn in Zukunft keiner die Technik mehr versteht werden wir auch nichts mehr neues schaffen. Den offensichtlich können die LLMs das auch nicht.

Das Neue wird von immer weniger Leuten kommen. Von denen, die KI als Werkzeug nutzen, ohne sich ausschließlich nur darauf zu verlassen.

@andy_m4
Also von:

Reduziert vielleicht etwas die ablehnende Haltung mancher.

zu:

komplexer als das mit "dumme Hater" erschlagen zu können.

ist es aber auch eine sehr freie Interpretation von dir ...

 

[DocAimless]

200 Millionen? Das war 2020 vielleicht noch so. Die Zahlen sinken kontnuierlich und lagen 2025 bei rund 150 bis 163 Millionen.

Einfach mal die MAU anschauen.

 

[Kaufmannsladen]

@Kaufmannsladen 200 Millionen? Das war 2020 vielleicht noch so.

https://data.firefox.com/dashboard/user-activity gibt ja noch Mobile

Meldungen wie diese machen das Ganze zurecht nicht besser.

Warum? Lieber Sicherheitslücken verschweigen?

 

[Kuristina]

Der Wohl spannendste teil der Aussage von Mozilla ist doch das

dass das Modell keine Schwachstellen aufdecken konnte, die nicht auch von menschlichen Experten mit ausreichend Zeit und Ressourcen gefunden worden wären.

Dann spart die KI also Zeit und Ressourcen.

 

[chr1zZo]

@maikwars gar nicht. Aber man könnte sagen, ich bin massiver PowerUser. Eigentlich kam das Zustande das mir irgendwann mal Claude mein komplettes Backend zerrammelt hat und ich derbe angepisst war. Natürlich hatte ich Backups, aber 3 Tage lang lief Claude total Amok. Dank ein paar Kontakte aus der Branche kam ich zu einem Dev, der dann die Fehler behob und ich bekam eine Anständige Summe von Zusatzleistung für Claude als Entschädigung. Dadurch merkte der Dev, was ich alles so runterballer mit Claude und lokalen LLMs und so kam man sich näher ^^

Ergänzung (Heute um 15:00)

@M-X Maschine Learning, Neural Engine. Es gibt aber tatsächich auch Self Improving AIs. Claude ist tatsächlich sehr Moralisch und sagt dir "Das darf Ich nicht, und du erst Recht nicht, zeigt dir den Artikel vom Strafgesetzbuch" Hat man eine Self Improving AI, so lerne ich die Böse, und zack, bewege ich mich tatsächlich im illegalen Bereich hust ^^ Mit Maschine Learning bzw. Neural Engine ist es grenzenlos das Wissen eines Menschen auf ein Programm zu transferieren. Ich habe klein Anfangen via CUDA/Tensor. Irgendwann knallst du dir nen DGX Spark hin und bekommst ein bisschen Angst, wirst aber auch irgendwie Geil ^^