Cohere will Aisle übernehmen: Das Prager Team fand 18 der 24 neuen curl-Lücken

Michael Dobler

Autor Dr. Web

16. Oktober 2026

3 Min. Lesezeit

Mehr als 500 bislang unbekannte Sicherheitslücken hat das KI-System des Prager Start-ups Aisle in einem Jahr gefunden, zuletzt 18 der 24 Lücken im Datenübertragungswerkzeug curl. Der kanadische KI-Anbieter Cohere will das Unternehmen übernehmen und daraus die Sparte Cohere Cyber machen. Einen Kaufpreis nennen beide Firmen nicht.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

„Mythos: 0 / Aisle: 29“: Mit dieser Zeile verglich curl-Gründer Daniel Stenberg im August die Funde von Anthropics Sicherheitsmodell Mythos und von Aisle im Code von curl.^[2] Am 15. Oktober unterzeichneten Cohere und Aisle eine Absichtserklärung zur Übernahme.^[1]

Das Wichtigste in Kürze

Cohere und Aisle haben eine Absichtserklärung unterzeichnet, einen Kaufvertrag und einen Abschlusstermin gibt es noch nicht.
Aisle-Chef Ondřej Vlček soll die neue Sparte Cohere Cyber leiten, Mitgründerin Jaya Baloo wird Leiterin der Informationssicherheit bei Cohere.
Prag soll für Cohere zum Zentrum für KI-Sicherheit werden.

Warum kauft ein KI-Anbieter einen Lückenfinder?

Lupe vergrößert Quellcode-Text, daneben ein Etikett mit Aufschrift '18 von 24' auf hellem Hintergrund — Sprachmodelle werden an Sicherheitslücken trainiert, deren Lösung eindeutig prüfbar ist. Entwickler von Open-Source-Projekten verifizieren Funde und vergeben CVE-Kennungen

Sprachmodelle lassen sich am besten an Aufgaben trainieren und messen, deren Lösung sich eindeutig prüfen lässt. Echte Sicherheitslücken erfüllen diese Bedingung: Die Maintainer, also die Entwickler, die ein Open-Source-Projekt betreuen, prüfen jeden Fund und vergeben eine CVE-Kennung oder weisen den Bericht zurück. Cohere will solche Aufgaben mit eindeutig prüfbarer Lösung nutzen, um künftige Modelle zu bewerten und zu verbessern.^[1]

Den Nachholbedarf kennt Cohere selbst. Firmenchef Aidan Gomez räumte laut dem kanadischen Wirtschaftsmedium The Logic im September ein, dass die eigenen Modelle beim Programmieren und in der Cybersicherheit hinter OpenAI und Anthropic liegen.

Aisle-Mitgründer Stanislav Fort, früher bei Anthropic und Google DeepMind, soll die Sicherheitsforschung direkt in das Training der Cohere-Modelle einbinden.^[1]

Wie belastbar sind 500 gefundene Lücken?

Aisle zählt nur Funde, für die das betroffene Projekt eine CVE-Kennung vergeben hat. Bei der Verschlüsselungsbibliothek OpenSSL stammten alle zwölf Lücken, die das Sicherheitsupdate vom Januar schloss, von Aisle, bei curl 18 der 24 Lücken, die Version 8.23.0 am 14. Oktober behob.^[2]

Nach Stenbergs Zählung gehen 35 veröffentlichte curl-Lücken auf Aisle zurück, mehr als auf jede andere Gruppe oder Einzelperson.^[3]

Einen Vorsprung in allen Disziplinen belegen die Zahlen nicht: In einer Rangliste der University of California in Berkeley, auf die Aisle selbst verweist, liegt Anthropic bei der Zahl kritischer Lücken vorn.^[2] Wie weit ein ungeprüfter KI-Fund danebenliegen kann, zeigte im August ein CVE-Eintrag für eine halluzinierte SQLite-Lücke.

Was Aisles KI in einem Jahr gefunden hat

Gezählt werden nur Lücken, für die das betroffene Projekt eine CVE-Kennung vergeben hat

500+

bislang unbekannte Sicherheitslücken mit CVE-Kennung

100+

betroffene Software-Projekte, darunter OpenSSL, curl und FFmpeg

veröffentlichte curl-Lücken, mehr als von jeder anderen Gruppe

1 %

aller 2026 veröffentlichten Open-Source-CVEs, nach Aisles eigener Zählung

Anteil der Aisle-Funde an den geschlossenen Lücken

OpenSSL, Januar 202612 von 12

OpenSSL, Sept. 2025 bis April 202620 von 23

curl 8.23.0, 14. Oktober 202618 von 24

Ist Aisle ein Einzelfall?

Die großen Modellanbieter bauen die Lückensuche selbst aus. Anthropic hat den Zugang zu Mythos 5.1 für mehr Sicherheitsteams geöffnet, Microsoft stellte im Juli das kompakte Modell MAI-Cyber-1-Flash vor. Cohere kauft die Spezialisten dagegen zu, wie zuvor Reliant AI und den Heidelberger Anbieter Aleph Alpha. Das Geschäftsmodell von Cohere zielt auf Behörden und streng regulierte Branchen, die KI teils in Rechenzentren ohne Internetanschluss betreiben.^[1] Für solche Kunden gehört Sicherheitsforschung zum Produkt.

Eine gefundene Sicherheitslücke ist der strengste Test für ein KI-Modell: Über den Fund entscheidet der Maintainer, nicht der Hersteller.
Markus Seyfferth, Chefredakteur Dr. Web

Was bedeutet die Übernahme für Unternehmen im DACH-Raum?

Mehr gefundene Lücken bedeuten mehr Patches, auch für Software, die kaum jemand bewusst installiert hat. Das Werkzeug curl steckt nach Schätzung seiner Maintainer in rund 30 Milliarden Installationen.^[2]

An fast der Hälfte von 23 Open-Source-Projekten, auf denen das Internet aufbaut, arbeiten nur ein oder zwei Menschen regelmäßig mit, wie eine Auswertung zeigt.

Seit dem 11. September 2026 gilt zudem die Meldepflicht des Cyber Resilience Act: Hersteller vernetzter Produkte melden aktiv ausgenutzte Schwachstellen binnen 24 Stunden, der Abschlussbericht folgt spätestens 14 Tage nach dem Sicherheitsupdate.^[5] Für Hersteller und IT-Abteilungen ergeben sich zwei Aufgaben:

Eine Software-Stückliste führen, aus der hervorgeht, welche eigenen Produkte curl oder OpenSSL enthalten, und curl auf Version 8.23.0 aktualisieren.
Bei Verträgen mit Cohere oder Aleph Alpha klären, wer nach dem Abschluss Vertragspartner ist und wo die Daten liegen. Der Zusammenschluss mit Aleph Alpha wartet noch auf die Freigabe der Behörden.^[4]

FAQ: Cohere will Aisle übernehmen: Das Prager Team fand 18 der 24 neuen curl-Lücken

Was ist Aisle?

Aisle ist ein Cybersicherheits-Start-up aus Prag mit einem Büro in San Francisco, laut Cohere 2024 gegründet. Das KI-System von Aisle sucht in Software nach unbekannten Sicherheitslücken, prüft die Funde und schlägt Patches vor. Gründer sind der frühere Avast-Chef Ondřej Vlček, Jaya Baloo und Stanislav Fort.

Wie viel zahlt Cohere für Aisle?

Einen Kaufpreis nennen weder Cohere noch Aisle. Beide Unternehmen haben am 15. Oktober 2026 eine Absichtserklärung unterzeichnet, einen verbindlichen Kaufvertrag gibt es noch nicht. Auch der Termin für den Abschluss steht nicht fest.

Was ist Cohere Cyber?

Cohere Cyber heißt die neue Cybersicherheitssparte von Cohere, die Aisle-Chef Ondřej Vlček leiten soll. Die Sparte soll Behörden und Unternehmen helfen, Schwachstellen zu finden, Daten zu schützen und KI-Agenten zu überwachen, auch in abgeschotteten Rechenzentren ohne Internetanschluss.

Was ändert sich für Kunden von Aleph Alpha?

Vorerst nichts. Der Zusammenschluss von Cohere und Aleph Alpha wartet noch auf die Freigabe der Behörden. Danach plant Cohere Hauptsitze in Berlin und Toronto, das Heidelberger Büro bleibt Forschungszentrum. Aisles Technik soll die Sicherheitsfunktionen der gemeinsamen Plattform ergänzen.