Schwachstellenmeldungen verlieren ihren Sonderstatus, und das ausgerechnet, weil Sprachmodelle Sicherheitslücken inzwischen am Fließband finden. So liest sich die These von Filippo Valsorda, dem langjährigen Leiter des Go-Security-Teams bei Google. Ein vertraulicher Bug-Hinweis war lange wie ein Schlüssel zum Tresor, den nur wenige besaßen. Heute liegt ein Nachschlüssel in fast jeder Werkzeugkiste.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügenDas Wichtigste in Kürze
- Valsorda argumentiert, Schwachstellenmeldungen verdienten keine Sonderbehandlung mehr, weil LLMs dieselben Lücken für alle Seiten auffindbar machen.
- Vertraulichkeit und Embargos verlieren an Wert, weil auch Angreifer ihr eigenes Modell befragen können.
- Als eigentliche Aufgabe benennt er schnelles Patchen und konsequente Prävention.
- Den einmonatigen Melde-Stopp bei Curl hielt er kurz zuvor noch für übertrieben.
Warum galten Meldungen bisher als besonders?
Ein Sicherheitsforscher liefert seltenes Wissen und die kurze Vertraulichkeit, die ein Projekt braucht, um vor dem Angreifer zu patchen. Im Gegenzug schulden die Maintainer rasche Reaktion und eine Nennung als Entdecker. Genau auf dieser Tauschlogik ruht die Sonderstellung, die Valsorda in seinem Essay beschreibt.
Was ändert die KI daran?
Der Hinweis ist kein knappes Gut mehr, sobald ein Modell dieselbe Lücke für jeden zutage fördert. Vertraulichkeit nützt wenig, wenn der Angreifer sein eigenes LLM befragt und ohnehin am selben Triage-Engpass sitzt. Anders als der Pull-Request-Stopp bei Ladybird, der die Flut schwacher Beiträge abwehrt, stellt Valsorda den Sonderstatus selbst infrage. Dass Maschinen alte Bugs schneller heben, als Teams patchen, zeigte zuletzt der Fall Fragnesia im Linux-Kernel.
Valsorda denkt unbequem zu Ende, was viele Teams ahnen. Eine Meldung ist kein Geschenk mehr, sondern ein Datenpunkt, und am Ende zählt, wie schnell ein Team patcht, nicht wie höflich es dankt.
— Markus Seyfferth, Chefredakteur Dr. Web
Was heißt das für Ihr Sicherheitsteam?
Der größte Hebel liegt in der Zeit bis zum Fix. Verkürzen Sie die Spanne zwischen Eingang und Patch und lassen Sie LLM-gestützte Analysen im CI mitlaufen, statt Kapazität in die Choreografie von Embargos zu binden. Attribution und Höflichkeit bleiben guter Stil, sie ersetzen aber keine schnelle Reaktion. Wo die Grundbegriffe fehlen, hilft unser Cybersecurity-Glossar beim Aufholen.
