Ein Gerücht über einen Bug reicht der KI für einen Exploit

Bots reagieren jetzt schneller auf Patches als Menschen

Anil Madhavapeddy, Forscher in Cambridge und Maintainer des OCaml-Compilers, warnt vor einem grundlegenden Wandel in der Cybersicherheit. Seiner Erfahrung nach tauchen Versuche, eine Schwachstelle in OCaml-Projekten auszunutzen, innerhalb von zehn Minuten nach der Veröffentlichung oder Diskussion eines Patches auf. Früher dauerte diese Verzögerung Tage oder Wochen. Der erhöhte Datenverkehr wird auch vom Maintainer des rclone-Tools bestätigt, der sich plötzlich mit über vierzig Berichten statt der üblichen zwei pro Monat befassen muss.

Das Ende der öffentlichen Embargos für Open Source

Die sich verändernde Dynamik hat radikale Auswirkungen darauf, wie die Open-Source-Community arbeitet. Das traditionelle Modell (bei dem ein Fehler gefunden, ein Fix geschrieben, von der Community einige Tage lang diskutiert und in der Zwischenzeit von GitHub eine CVE-Kennung vergeben wird) funktioniert nicht mehr. Wenn automatisierte Systeme und Bots öffentliche Repositories ständig überwachen und aus einem bloßen Hinweis (wie einem Commit-Titel oder einer Pull-Request-Diskussion) den Weg zu einem Exploit rekonstruieren können, wird die öffentliche Vorbereitung von Patches zum Risiko.

Der Agent garantiert keine Qualität, erhöht aber das Volumen

Die Beschleunigung der Fehlererkennung hat zwei Seiten. Einerseits überschwemmen Bots die Repository-Maintainer mit automatisch generierten Berichten (oft ohne ein tieferes Verständnis des Problems). Auch wenn rclone berichtet, dass etwa 75 % von ihnen zumindest etwas Relevantes enthalten, erfordert die Sichtung dieser Berichte einen enormen menschlichen Zeitaufwand. Paradoxerweise müssen die Entwickler selbst KI-Tools einsetzen, um mit dem Filtern von Berichten fremder KI Schritt zu halten.

Das Rennen um ein neues System zur Fehlerberichterstattung

Die aktuelle Situation ist unhaltbar. Wenn GitHub drei bis vier Wochen benötigt, um eine CVE zuzuweisen, während KI zehn Minuten braucht, um eine Schwachstelle zu verstehen, muss der Prozess beschleunigt werden. Die Communities müssen private Kanäle für den Austausch von Fixes aufbauen, bevor sie in den Hauptzweig gepusht werden, und einen Weg finden, die Flut der von Kopfgeldjägern generierten Berichte automatisch zu filtern.

Liliths Urteil

Hier geht es nicht darum, dass Code weniger sicher ist. Es ist der Moment, in dem die transparente Open-Source-Kultur hart mit Maschinen kollidiert ist, die keinen Schlaf brauchen und jeden Commit in Echtzeit lesen.