Künstliche Intelligenz 4 min read 1h ago

KI-Agenten schlagen Patches um Tage

Zehn Minuten nach dem öffentlichen Öffnen eines Security-PRs für cohttp 6.3.0 registrierte der Maintainer bereits automatisierte Angriffssonden – ein eigener KI-Agent erstellte
Die mittlere Zeit bis zur Ausnutzung einer Schwachstelle liegt laut aktuellen Daten bei minus sieben Tagen: Exploitation geht dem Patch im Schnitt voraus; 2018–19 betrug der Wert

Ein Sicherheitspatch für die OCaml-Bibliothek cohttp war noch nicht einmal veröffentlicht, da registrierte der zuständige Maintainer bereits erste automatisierte Angriffssonden auf seinem Live-Server – und das nur zehn Minuten nach dem öffentlichen Öffnen des entsprechenden Pull Requests. Der Vorfall illustriert eine tiefgreifende Verschiebung in der Bedrohungslandschaft für Open-Source-Software: KI-Agenten benötigen heute keine vollständigen technischen Details einer Schwachstelle mehr. Das Gerücht einer Sicherheitslücke reicht aus.

Vom Hinweis zum Exploit in unter einer Minute

Die Schwachstelle in cohttp 6.3.0 – ein Path-Traversal-Fehler – wurde zunächst privat über einen Slack-Kanal von Jane Street gemeldet. Die Entdeckung selbst erfolgte durch Claude Fable, ein KI-gestütztes Analyse-Werkzeug. Als der Maintainer einen eigenen Agenten auf den betroffenen Code ansetzte, um nach weiteren Problemen zu suchen, weigerte sich Claude Fable aufgrund interner Sicherheitssperren – der Maintainer verfügt nach eigenen Angaben nicht über Zugang zu Project Glasswing. DeepSeek V4 Pro hingegen fand eigenständig mehrere verwandte Probleme. Einen funktionsfähigen Exploit für einen lokalen Testserver erstellte der Agent dabei in unter einer Minute.

Die Reaktion im Netz folgte nahezu in Echtzeit: Rund zehn Minuten nach dem öffentlichen PR registrierte der Server prozentkodierte Path-Traversal-Anfragen – ein Hinweis darauf, dass automatisierte Systeme öffentliche Code-Repositories aktiv überwachen und sofort auf neue Commit-Muster reagieren.

Ad Unit · 728×90 / Responsive

Mittlere Exploit-Zeit ist negativ geworden

Der Vorfall steht nicht für sich allein. Eine von Fang et al. durchgeführte Studie zeigt, dass ein GPT-4-Agent bei Kenntnis einer CVE-Beschreibung 87 Prozent eines 15-Schwachstellen-Benchmarks ausnutzen konnte – ohne die Beschreibung waren es lediglich 7 Prozent. Aktuellere Daten legen nahe, dass die mittlere Zeit bis zur Ausnutzung einer Schwachstelle inzwischen bei minus sieben Tagen liegt: Exploitation findet im Schnitt vor der öffentlichen Patch-Veröffentlichung statt. 2018–19 betrug dieser Wert noch rund 63 Tage; die Grenze zu negativen Werten wurde 2024 überschritten. Konkrete Beispiele aus jüngster Zeit: CVE-2026-39987 bei marimo führte neun Stunden nach der Advisory zu ersten Angriffsversuchen – ohne öffentlichen Proof-of-Concept. Langflows CVE-2026-33017 folgte nach zwanzig Stunden.

Ein Mai-2026-Paper von Pesoli et al. mit dem Titel Demystifying the Mythos or Disrupting Bugonomics? prägte dafür den Begriff "Bugonomics" und argumentiert, dass der Engpass sich zur "Defender Remediation Throughput" verschoben hat: LLMs generieren Exploits in hohem Tempo, während die Kapazitäten zur Verteidigung – Maintainer-Validierung, Triage, Release-Rhythmus – weitgehend stagnieren. Wie LLMs Host-Systeme über Inferenz-Engines kompromittieren können, ist dabei nur eine Facette eines breiteren Bedrohungsbildes.

Embargos als überholtes Instrument

Der klassische Sicherheitsprozess beruht auf Geheimhaltung: Eine Schwachstelle wird privat gemeldet, im Verborgenen gepatcht und erst nach der Veröffentlichung öffentlich gemacht. Dieses Modell verliere nach Einschätzung des Maintainers seine Wirksamkeit, weil KI-Agenten auf Basis vager Hinweise – eines Mailinglisten-Beitrags, eines ungewöhnlichen Commits in einem verwaisten Branch, eines beiläufigen Kontextlecks – selbstständig nach Exploits suchen. Geheimhaltung schütze nicht mehr die Nutzer, sondern nur noch die Angreifer, die schneller suchen.

Erschwerend kommt hinzu, dass kleinere Open-Source-Projekte wie OCaml keinen Zugang zu leistungsstarken Frontier-Modellen haben. Project Glasswing, das inzwischen 150 Organisationen in 15 Ländern umfasst – darunter Betreiber kritischer Infrastruktur, Cloud- und Finanzdienstleister sowie die Linux Foundation – schließt nach Darstellung des Maintainers kleinere Projekte und individuelle Maintainer bislang aus. Die kommerziell verfügbaren westlichen Modelle seien für sicherheitskritische Analysen durch interne Sperren blockiert.

Mögliche Gegenmaßnahmen

Als Reaktion skizziert der Maintainer drei Ansätze: erstens eine strikt private Patch-Entwicklung in isolierten Umgebungen, die jedoch – so die Einschätzung – das falsche Leck stopft, weil bereits der Hinweis auf die Fehlerklasse ausreiche. Zweitens ein kontinuierliches, öffentliches Patching ohne Embargo, analog zu Chromes zwei Releases pro Woche oder dem Linux-Kernel-Modell mit maximal sieben Tagen Aufschub. Hierfür fehlt es dem OSS-Ökosystem jedoch an übergreifendem Paketmanagement, robuster Scanning-Infrastruktur und plattformübergreifendem CI ohne False Positives. Drittens proaktive Schutzmaßnahmen auf Protokollebene: Normalisierungsregeln für eingehende Anfragen, die noch vor dem vollständigen Patch ausgerollt werden – ein Ansatz, den etwa Cloudflare bei Log4shell 2021 praktizierte, der im OSS-Bereich aber an fehlenden Distributionskanälen scheitert. Wie unkontrollierte KI-Nutzung in Organisationen ähnliche Sicherheitslücken öffnen kann, zeigt ein paralleler Trend im Unternehmensumfeld.

Der cohttp-Fix entstand nicht in Alleinarbeit: Sapphire Livingstone meldete die Schwachstelle, begleitete die Behebung und entwickelte die Remediation mit; Michael Dales, Török Edwin und Patrick Ferris überprüften den Patch; Hannes Mehnert koordinierte die Advisory. Die grundlegendere Frage, wie das OSS-Ökosystem seine Sicherheitsprozesse an eine Welt anpassen kann, in der Exploitation der Publikation vorausgeht, bleibt offen.

Themen

KI-gestützte Exploit-GenerierungOpen-Source-SicherheitSchwachstellen-Disclosure

Personen

Sapphire Livingstone

Organisationen

Jane StreetLinux FoundationProject Glasswing

Ad Unit · 300×250 / Responsive