Nach dem Fund einer schweren Sicherheitslücke in der Programmiersprache PHP warnen Führungskräfte der Cybersicherheit vor einer neuen Ära KI-gestützter Angriffe, wie The Guardian berichtete. Sie erwarten, dass KI-Werkzeuge in den kommenden Monaten noch grundlegendere Schwächen der globalen Internetinfrastruktur offenlegen werden. Sam Altman sagte am Donnerstagabend (22. Oktober), er glaube nicht mehr, dass es möglich sein werde, alle Fehler zu beheben.
Diese wird auf Millionen Websites eingesetzt und war womöglich seit Jahren ungepatcht. Tech-Führungskräfte warnen, dass KI sowohl zum Finden als auch zum Ausnutzen von Sicherheitslücken in bisher nicht gekanntem Umfang und Tempo eingesetzt werde.
Jason Clinton, stellvertretender Chief Information Security Officer bei Anthropic, sprach in einem Beitrag auf X von einer „Schwachstellenflut“ in den nächsten Monaten. Für den Schutz kritischer Infrastruktur bleibe nicht genug Zeit, schrieb er am Donnerstagabend. Marc Benioff, CEO von Salesforce, stimmte ihm zu und bezeichnete die Lage als Code Red. Matthew Prince, CEO von Cloudflare, erklärte, KI könne Sicherheitslücken in einem Tempo finden, das die Sicherheitsgemeinschaft nicht schnell genug beantworten könne. Das werde sich katastrophal anfühlen, so Prince, als würde der Himmel einstürzen. Die nächsten zwei Jahre würden äußerst schwierig, weil Werkzeuge mit unendlicher Geduld das Internet nach Schwachstellen absuchen würden.
Sicherheitsexperten hatten seit Monaten vor einem „Vulnpocalypse“ gewarnt, also davor, dass KI Sicherheitsfehler leichter erkennen kann. Erst mit „Black October“ sei es Forschern jedoch gelungen, mit KI einen ebenso grundlegenden und kritischen Fehler zu finden wie den am 21. Oktober bekannt gegebenen. Die massiven Fehler in PHP könnten die Millionen Websites, die auf dieser Sprache laufen, jahrelang angreifbar gemacht haben. Einige Experten schätzten, dass 70 Prozent aller Websites im Internet von Hacking bedroht seien.
Die Führungskräfte befürchten, dass böswillige Akteure KI ebenso nutzen werden, um die Schwachstellen in beispiellosem Tempo auszunutzen. Versuche, die PHP-Lücke auszunutzen, hätten bereits begonnen. Nach der Bekanntgabe nahmen Regierungs- und private Websites in den USA und Großbritannien ihre Seiten vorübergehend vom Netz, um die Fehler zu schließen. Die US-Behörde National Security Agency (NSA) empfahl allen Seiten, die PHP einsetzen, die Patches sofort einzuspielen. Böswillige Akteure könnten die Fehler weiter ausnutzen, um sich unbefugt Zugang zu Servern zu verschaffen. Ein solcher Zugangsweg könne Angreifern helfen, sensible Daten zu stehlen, Dienste zu stören oder tiefer in ein Netzwerk vorzudringen, warnte die NSA.
Prince schrieb auf X, Cloudflare, ein Sicherheitsdienstleister, habe Hinweise darauf gesehen, dass Tausende Menschen in den zehn Stunden vor der Bekanntgabe versucht hätten, die PHP-Lücken auszunutzen. In den 45 Minuten nach der Ankündigung seien es bereits zehntausende gewesen, innerhalb von zwei Stunden hunderttausende und inzwischen Millionen.
Forscher der KI-Sicherheitsplattform Wiz schrieben in einem Blogbeitrag, es handle sich womöglich um eine der schwersten Sicherheitslücken, die je in PHP entdeckt wurden, und vielleicht in der gesamten Softwaregeschichte. Die zugrunde liegenden Fehler seien seit Jahrzehnten vorhanden gewesen. Ihre Ausnutzung habe jedoch eine außergewöhnlich komplexe Kette von Schritten erfordert, nahe an dem, was menschliche Forscher praktisch erreichen könnten.
Kommentare (0)