News NSA und weitere US-Behörden: Claude Mythos knackt vertrauliche Systeme binnen Stunden

[pseudopseudonym]

wenn die KI scheitert, ist der Benutzer schuld, kann die KI nicht richtig steuern.
eine gute KI versteht komplexe Software in Minuten.

So einfach ist es leider nicht. Wenn ein Modell keine sinnvollen Schnittstellen hat, Software zu nutzen und zu verstehen, werden die Ergebnisse nicht gut sein.

 

[Gorasuhl]

Bundestag. Jede 2. Behörde, leider ist das der default. Lies ein beliebiges post mortem.
Für den Einstieg, such nach Bundestag hack moodle.

geht bei den verwendeten Domains, welche zu weit über 90% immer noch nicht vertrauenswürdige top-level .gov nutzen und nicht gesicherten (und gerouteten) Typosquats und Bitsquats weiter. Typischerweise sollte man bei unseren .de domains auch .ee dazu nehmen.

Weil Domains auf Grund von Namenswechsel der Behörden auch gewechselt werden und nach einiger Zeit der Transfer als "abgeschlossen" gilt, werden die alten Domain gekündigt/freigegeben und man will nicht wissen was da noch im Hintergrund alles falsch gerouted bzw. serverseitig falsch konfiguriert ist.

kleiner Beitrag vom ccc dazu:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

 

[mblaster4711]

"Die Geister, die ich rief, werd’ ich nun nicht los"

 

[riloka]

Ich hoffe dass man hier vernünftig vorgeht und bei Betreibern kritischer Infrastruktur befreundeter Staaten hilft abzudichten.

 

[Helge01]

Ich denke das wird ein neues Geschäftsmodell, durch KI gehärtete Sicherheitstechnik die nur den Amis (z.B. Claude Mythos) zur Verfügung steht. Wer gegen KI-Cyberangriffen immun sein möchte, muss dann amerikanische Sicherheitstechnik kaufen.

 

[KomputerKarl]

So lange das nicht public ist kann das auch marketing sein.

Andere Berichte sprechen deutlich weniger Fehlern, dafür aber für false positiv Meldungen, die aufwendig geprüft werden mussten.
https://www.heise.de/news/Mythos-findet-nur-eine-Sicherheitsluecke-in-curl-11291666.html

Am Ende ist das ehrliche Fazit: Viel Lärm um nichts.

Ich selbst konnte natürlich nur den Vorgänger testen. Das war das gleiche Bild. Angeblich viele Fehler entdeckt und am Ende war nichts iwie kritisch oder tatsächlich relevant.

Natürlich sollte man die neuen Werkzeuge auch nutzen für Code review. Und es ist sinnvoll etablierte software damit auch mal durchzutesten, aber diese Panikmache ist eher marketing.

EDIT: Übrigens, die KI hat in Junior - Hand dagegen selbst eine Sicherheitslücke eingebaut, was aber im code review auffiel. Damit steht es 1-0 für die eingebauten, vs. gefundenen Fehler (Wie gesagt für Opus)