News Linux-Sicherheit: OpenAI entdeckt auto­nom 948 Root-Schwach­stellen im Ker­nel

[ruthi91]

ich verstehe nicht warum man KI auf Linux und nicht auf Windows losgejagt hat?

https://www.computerbase.de/news/be...1-413-geschlossenen-sicherheitsluecken.99815/

 

[Bullz]

@mithraldur, nichts ist zu 100% Perfekt.

Was der Mensch erschafft ja, aber vl Kann es eine AI in Jahren / Jahrzehnten schaffen.

 

[KomputerKarl]

Sind wir nicht mittlerweile an dem Punkt wo die neuen Modelle weniger Bugs übersehen als Menschen in so ziemlich allem? Und wenn doch mal die KI was nicht so gemacht hat wie gewollt, dann liegt nicht selten ein layer 8 Problem vor.

Das kann ich nicht sagen, weil es sich so schnell entwickelt. Vor ein paar Wochen hatte ich auf jeden Fall eine false positive Meldung.

Eine Sicherheitslücke habe ich selbst noch letzte Woche bei einem Ticketanbieter entdeckt. Die würde KI aber auf jeden Fall auch finden, wenn man sie einfach fragen würde.

Was ich aber sagen kann, ist dass Claude nicht so sauberen Code schreibt wie ich. (Zumindest in Go) Was rauskommt funktioniert aber trotzdem sehr zuverlässig.

Ob und wann bei komplexeren Projekten der Punkt kommt, wo die mittelmäßige Code struktur von KI zum echten Problem wird kann ich nicht sagen. Bei den relativ einfachen Webanwendung die ich mache, klappt bisher KI sehr gut.

Für mich ist der Idealweg immer noch Mensch hat den Lead und KI ist Tippsklave und Sparringspartner.

Spart immer noch extrem viel Zeit.

 

[XamBonX]

ich verstehe nicht warum man KI auf Linux und nicht auf Windows losgejagt hat?

Den Patch mit 1400 oder so Lücken verpasst oder was ist los?

 

[koech]

Bei einem Vergleich von GPT-5.5 Cyber und GPT-5.6 Cyber profitierten die älteren Modelle noch erheblich davon, wenn ihnen konkrete Angriffstechniken vorgegeben wurden. GPT-5.6 Cyber erreichte dagegen bereits ohne entsprechende Hilfestellungen eine Erfolgsquote von 92,1 Prozent. Mit zunehmender Leistungsfähigkeit sinkt somit auch der Bedarf an zusätzlicher Anleitung.

Hä? Der Versionssprung von 5.5 auf 5.6 ist genau die "Hilfestellung" und "zusätzliche Anleitung", die es angeblich nicht mehr braucht. Daher kommt die höhere Leistungsfähigkeit.

Aus solchen Texten und vielen Antworten oben kann man eine "Vermenschlichung" der KI herauslesen, die da nicht hingehört. Die hochautomatisierte Mustererkennung (aka KI) kann gar nichts allein.

 

[Janoe]

Ich weiß das mag für ITler und Sicherheitsexperten anders sein... aber ich nehme viele Exploitwarnungen gar nicht mehr ernst. Welche Voraussetzungen teilweise für Exploit XY erfüllt werden müssen gleicht manchmal einem Fingerabdruck an Einzigartigkeit und dann ist oft das Exploit selbst nicht einmal so "dramatisch". Ja, ich weiß, da mögen jetzt einige Schnappatmung wegen meiner Fahrlässigkeit bekommen aber für mich als einfacher User ist es halt so.

 

[foofoobar]

ich verstehe nicht warum man KI auf Linux und nicht auf Windows losgejagt hat?

Keine Sorge, bald wird auch Binärcode von KIs abgescannt.

 

[Wakasa]

Was ich nicht verstehe, Microsoft hat das Geld, die Leute und demnach auch die Zeit.
Warum startet man sowas nicht selber?
Das würde den Kunden ja auhc eine gewisse Sicherheit geben. Man würde merken, ok sie kümmern sich jetzt.
Aber nix is.

Stattdessen ist es die FIrma von dem Spinner der sagt, ihr habt alle zu viel Ram zuhause rumliegen.

 

[Caramon2]

So viel zum viele Augen Prinzip quelloffener Software…

Vielleicht vergleichbar damit, was schon vor einiger Zeit bzgl. Krebsforschung berichtet wurde: Der Computer findet Zusammenhänge, nach die ein Mensch, aufgrund von Erfahrungswerten, gar nicht erst sucht.

Closed Source ist dagegen das Vogel Strauß Prinzip: Der Hersteller wird's schon richtig machen…

Ergänzung (Freitag um 10:48)

ich verstehe nicht warum man KI auf Linux und nicht auf Windows losgejagt hat?

Wie soll das ohne Quellcode möglich sein?

 

[OpticalFiber]

Ich frage mich wie viel werden sie bei Microsoft Windows 11 finden sicher über 3000 Lücken.

 

[stefan92x]

Was ich nicht verstehe, Microsoft hat das Geld, die Leute und demnach auch die Zeit.
Warum startet man sowas nicht selber?

Wie kommst du darauf, dass Microsoft das nicht tut?
https://www.computerbase.de/news/be...1-413-geschlossenen-sicherheitsluecken.99815/
Was glaubst du wohl, wie dieser Rekord zustande kam?

 

[OpticalFiber]

ich verstehe nicht warum man KI auf Linux und nicht auf Windows losgejagt hat?

Natürlich lest man K.I. Auf Windows los. Nur bei Windows hat den Code nur Microoft der ist geheim. Das gleiche ist mit Macos von Apple. Bei Linux ist der Code offen jeder kann in sehen.

Ergänzung (Freitag um 10:55)

Möchte nicht wissen wie viele Lücken davon in den Datenbanken der Geheimdienste stehen und aktiv ausgenutzt wurden.

Gehimdienste benutzen verschiedene Systeme nicht Linux auch WIndows. Solange die Lücken geschlossen werden ist es gut. Aber wenn sie bekannt werden und nicht geschlossen werden, dann ist es schlecht. Die K.I. findet am meisten. Menschen übersehen sehr viel. Wichtig ist nur man muss das System Updaten.

Desto besser und Stärker die K.I. von Version zu Version desto mehr Lücken werden gefunden.
Das meiste wird in C geschrieben. C ist anfällig.
Würde man den ganzen Code in Rust schreiben würde es nicht so anfällig sein. Weill Rust viel sicherer ist.

 

[fdsonne]

Mit solchen Meldungen wird sich vielleicht irgendwann der Mythos legen, dass OpenSource irgendwas an Mehrwert in Sachen Code und Codesicherheit liefert ggü. Closed Source Code. Das galt noch nie - wurde aber immer gern mal behauptet, weil ja so viele rein gucken konnten und Fehler beheben könnten - ja pustekuchen. Gemacht haben das vielleicht einige, gefunden hat man aber trotzdem nur die Spitze vom Eisberg.

Bei Closed Source ist das faktisch nicht besser - das stimmt wohl. Aber letztlich spielt es bei heutigen Fähigkeiten der KI auch keine Geige (mehr). Closed Source Code lässt sich binnen kürzester Zeit auch auswerten. Aus der Business Brille ist der Vorteil von Closed Source Code halt noch, dass man Jemanden hat, der potentiell dafür haften könnte. Je nachdem wie die Verträge ausschauen.

ich verstehe nicht warum man KI auf Linux und nicht auf Windows losgejagt hat

Microsoft und auch andere externe tun das ja - dennoch herrscht gerade im Business Geschäft nach wie vor eine gelebte Praktik, dass Sicherheitslücken erst nach einer vereinbarten Zeit an die Öffentlichkeit getragen werden. Die zunehmende Anzahl an fixes in den monatlichen Windows Updates belegt, dass das heute schon getätigt wird.

Die Hürde bei Microsoft ist allerdings für Windows als closed Source Software ungemein höher. Denn du musst die im Zweifel verschiedenen Versionsstände jedes mal aufs neue erstmal decompilieren oder eben den compiled Code analysieren. Ggü. dem durchschauen des Source Codes bei Open Source. OpenAI hat hier ja dennoch eine nicht zu unterschätzende Menge an Geld drauf geschmissen - und die sitzen an der Quelle.

Ja deswegen hatte ich auch noch den Nachsatz ergänzt, dass es eben für Linux möglich ist, auch direkt Patches zu erstellen. Für Windows nicht

Das stimmt so nicht. Auch der Part mit den Patches. Siehe bspw. 0patch.

Was der Mensch erschafft ja, aber vl Kann es eine AI in Jahren / Jahrzehnten schaffen.

Theoretisch wäre das schon denkbar - aber dennoch muss dafür technisch noch ein weiterer Schritt passieren. Aktuelle Modelle nutzen für ihre Antworten ja auf Wahrscheinlichkeiten. Sie liefern vereinfacht gesagt, das was am wahrscheinlichsten laut Training richtig ist. Das Training dafür ist sozusagen das technische Limit. Denn die Source ist etwas, was es irgendwo vorher schon mal gegeben haben muss. Nicht 1:1 im Sinne von, der Code muss schon existieren - sondern abstrakt im Sinnzusammenhang. Die Frage ist ob man das früher oder später mal erreichen wird. Wahrscheinlich schon - nur wann?

Eine Sicherheitslücke habe ich selbst noch letzte Woche bei einem Ticketanbieter entdeckt. Die würde KI aber auf jeden Fall auch finden, wenn man sie einfach fragen würde.

Im Moment ist man (noch) vor dem Peak - man erklimmt bildlich gesehen noch den Berg. Du kannst heute viel mit KI machen und in so einigen Aspekten wie eben dem Coding bringt einen das auch wirklich sehr viel. Aktuell gibt es aber noch genug Menschen, die das nicht tun, nicht nutzen oder komplett verweigern. Wenn Jemand als Mensch eine Lücke findet, kann man faktisch davon ausgehen, dass eine KI das mit entsprechendem Auftrag auch tun könnte, bis hin zu dass es noch mehr drum rum finden würde, sehr sicher zumindest. Aber, es fehlt aktuell (noch) der Auftrag das zu tun.

Ein Grund dafür ist, dass die Masse der normalen Entwickler die technischen Möglichenkeiten gar nicht haben. Geh mal hin und frag GPT irgendwas oder Opus, Fable und Co. nach PoC Code für sagen wir PHP2Shell? Du bekommst einfach keine Antwort, weil das künstlich zurück gehalten wird für den gemeinen Otto.

Die hier genannten Cyber Versionen von GPT5.5 und 5.6 sind die quasi limit losen Modelle, die du als privat Hansel überhaupt nicht buchen kannst. Und um Business auch nur mit Nachweis. Ich hab es versucht - leider nicht möglich. Man müsste ne Cyber Sicherheitsfirma vor stellen um da ran zu kommen, zumindest an die offen-offenen Modelle. Bei OpenAI gibts noch eine "blue" Version - die ist aber effektiv auch ziemlich zu gedängelt.

Wie soll das ohne Quellcode möglich sein?

Für ein KI Modell spielt es keine Rolle ob es 0 und 1 aus von Menschen leserlichen Code analyisert oder die selben 0 und 1 aus decompiled Code. Decompiler, die zusammenhangslos und vor allem ohne beeinflussende oder menschlich präferierte Schreibweise und Kommentare technisch leserlichen Source Code erzeugen, gibt es seit ewigkeiten. Sogar frei verfügbar. NSAs Ghidra ist da bspw. ein prominentes Beispiel.

Das Problem bisher war, der decompiled Code ist schwer vom Menschen zu lesen. Bspw. sind Variablen nicht mehr dem kontext passend sinnig benannt. Aber das spielt für die Sicherheitsanalyse absolut keine Rolle. Wie die Variable sich nennt, ist total bumms egal, das entscheidende ist, dass der Code funktioniert.

 

[Caramon2]

Außerdem ist Linux wesentlich interessanter, da es auf wesentlich mehr und unterschiedlichen Geräten zum Einsatz kommt.

Dazu hatte ich neulich erst was geschrieben:

Microsoft und Windows sind nicht das Maß aller Dinge

 

[DeusExMachina]

ich verstehe nicht warum man KI auf Linux und nicht auf Windows losgejagt hat?

hat man
Das Error Log hat hat nach 42min Platte voll geschrieben und die KI ist abgestürzt

 

[fdsonne]

Ich frage mich wie viel werden sie bei Microsoft Windows 11 finden sicher über 3000 Lücken.

Bestimmt noch mehr - fairerweise muss man aber sagen, das lässt sich nicht vergleichen. Hier wurde der Linux Kernel Code untersucht. Wenn man über Microsoft spricht (schimpft), bezieht man sich aber nicht nur auf den Kernel sondern das komplette Gesamtprodukt - meist eben sagen wir Windows. Windows ist nicht nur Kernel, sondern vor allem eine ganze Menge Speckgürtel drum rum.

Ergänzung (Freitag um 11:14)

Dazu hatte ich neulich erst was geschrieben:
Microsoft und Windows sind nicht das Maß aller Dinge

Das passt doch aber im Zusammenhang gar nicht!?

Viel eher ist entscheidend, was man erreichen will. Hier steht OpenAI als Akteur - wahrscheinlich soll das in erster Linie eine Art Demonstration ggü. der Konkurrenz sein, was ihr "Red" Modell alles kann und in der Lage ist zu finden. Von Anthropic als quasi Way to Go in Sachen Programmierung heute hat man so eine Meldung bisher nicht gesehen? Zumindest kennne ich keine. Technisch könnten die aber mit Mythos und Fable exakt das selbe tun. Ohne echten Aufwand - die sitzen an der Quelle.

Die Frage ist aber doch eigentlich, was ist wenn Jemand kein Demonstrationsziel für Werbung im Sinn hat, sondern sagen wir, zumindest in der westlichen Welt, quer Beet in Business PCs einsteigen will? Dann ist auf einmal Microsoft im Fokus und der Impact ist ein ganz anderer als das was hier beschrieben ist. Windows steckt in so vielen Dingen, denen man es gar nicht ansieht. Und sei es nur der PC hinterm Geldautomat der nächsten Sparkasse, bei den Anzeigetafeln der Bahn oder bei den Werbescreens und Kauftafeln bei McDoof.

Wer also mit genug Token den Code analysiert, wird sich im Nachgang dann ganz sicher nicht hinstellen und so ne Meldung "im Guten" veröffentlichen - sondern dann gehts mit den Findings ab in die nächste ZeroDay Börse oder ähnlichem. Linux Kernel Code oder andere große Open Source Projekte werden hier nicht verwendet, weil nicht Microsoft der Nabel der Welt ist, sondern weil die Hürde das Ergebnis zu erreichen einfach aufgrund des veröffentlichten Codes viel geringer ist.

 

[neutrongummi]

RIP an die Softwarebuden, die ihr Geld mit Sicherheitsanalyse von Code gemacht haben

 

[darth_mickrig]

Dass OpenAI eine möglichst große Zahl an Lücken in die Welt setzen will, ist ja in ihrem eigenen Interesse um zu zeigen, wie gut die Modelle doch sind.
Nur wäre auch ein CVE-Score zu den Lücken nützlich. Wenn das alles keine schwerwiegenden Lücken sind, herzlichen Glückwunsch, >1 Mio. „verbrannt“ um es überspitzt zu formulieren. Wenn da aber wie letztens bei PHP wirklich Lücken dabei sind, die in der freien Wildbahn zu beträchtlichen Schäden führen können, wird sich das durchaus gelohnt haben.

 

[neutrongummi]

Der Linux Kernel ist einer der mit am besten untersuchtesten Quellcodes, die 1000 Exploits sind sicher nicht alle CVE 10.

 

[Der Nachbar]

Auf die gestopften Lücken wird die KI erneut angesetzt und kommt wieder irgendwo durch. Oder analysiert die KI auch etwa ihren eigenen Code auf Schwachstellen?

Das wird bei der Rechenkapazitität und Brutforceattacken kein zu endendes Lückentrauma.
So lange es einen Zugriff auf eine Software gibt, wird man Schwachstellen finden und sei es über die Inflitration des Datenstroms mit eigenem Codestücken.

Das ist wie ein dauerhaft mutierendes Supervirus aus KI Erzeugung, was mit KI und eigentlich von Menschen geschriebene Algorithmen mit menschlichen Schwachstellen bekämpft werden soll.

Wenn man auch nur bedingte Sicherheit haben will, müssten am stationären Smartcard Reader mit Benutzer ID die Eingabegeräte und zusätzliche Speicher angeschlossen werden und was vom Nutzer nicht autorisiert wird, wird strikt auf Hardwareebene abgewiesen und der Softwarelayer kann über eine Smartcardreadereingabe gekillt werden. Der Nutzer bestätigt sicherheitskritische Befehle direkt am Smartcard Reader, dem sich sogar der Kernel unterordnet, der nur eindeutige Eingabekommunikationsrechte über die Smartcard ID erhält und der Reader im Lesemodus arbeitet. Kommunikation über Lichtleiter und Kernelupdates nur über den Smartcard Reader USB Anschluss, der den Kernel zertifizieren kann und dabei alle anderen Internetverbindungen hardwareseitig am PC gekillt werden.