Skip to content
Standard Reader
Log in
social.goneo.de
social.goneo.de
AI und MLAktuellPodcast

Vulnpocalypse

KI findet Sicherheitslücken inzwischen schneller, als Menschen sie stopfen – das ist die Vulnpocalypse. In Episode 162 haben wir die wichtigsten Beweisstücke besprochen. Hier steht, was nicht mehr in die Folge passte: welche Meldungen wir bewusst weggelassen haben, welche Fragen offen bleiben und warum sich jeder Link in den Shownotes lohnt.

goneo
goneo@goneo.bsky.social
Nov 6, 20265 min read
1

Was nicht in die Folge passte

n Episode 162 des goneo Webmacher & Webprofessionals Podcasts geht es um die Vulnpocalypse: KI findet Sicherheitslücken schneller, als Menschen sie stopfen. 27 Minuten reichen für die wichtigsten Beweisstücke, aber nicht für alles, was wir recherchiert haben. Hier kommt der Rest.

Kurz zur Erinnerung, was in der Folge steckt: die Nachmessung zu PHP2Shell, bei der Deutschland die meisten verwundbaren Websites Europas und die niedrigste Patch-Quote hat. Ein Linux-Root-Exploit, den ein Forschungsmodell von Claude geschrieben hat. Container-Ausbrüche, KI-Agenten auf Abwegen, offene MCP-Server und der 6,3-Milliarden-Diebstahl bei Binance. Dazu Frankreichs Gigabyte-Steuer und drei News in drei Minuten zu Rechenzentren, Börse und KI-Laboren.

Zur Folge: Episode 162 – Vulnpocalypse

Was wir weggelassen haben – und warum

Manche Geschichten waren zu spät, manche zu technisch, manche schlicht zu unsicher. Hier ist, was auf dem Schneidetisch liegen geblieben ist.

Die widerlegte Exponential Time Hypothesis. Ende Oktober haben OpenAI und Anthropic fast zeitgleich behauptet, ihre Modelle hätten eine fast 30 Jahre alte Annahme der Informatik widerlegt. Sie besagt, dass manche Rechenprobleme sich nur lösen lassen, indem man nahezu alle Möglichkeiten durchprobiert. Einige Berichte machten daraus gleich „Risse im Fundament der Verschlüsselung“. Das haben wir bewusst nicht übernommen. Die Beweise werden gerade von Fachleuten geprüft, und selbst wenn sie stimmen, bringt das für die Praxis erst bei absurd großen Problemen etwas. Dein HTTPS-Zertifikat ist davon heute nicht betroffen.

NIS2. Die neue EU-Richtlinie zur Cybersicherheit ist in Deutschland ein großes Thema. Sie betrifft aber vor allem mittlere und große Unternehmen in bestimmten Branchen. Für die meisten Vereinsseiten, Freelancer und kleinen Shops ist die DSGVO der relevante Rahmen. Deshalb haben wir uns auf die 72-Stunden-Meldepflicht bei Datenpannen beschränkt.

Die Gasturbinen von xAI. In Memphis betreibt Elon Musks KI-Firma ein Rechenzentrum mit Strom aus Dutzenden Gasturbinen. Die Bürgerrechtsorganisation NAACP klagt, weil die Turbinen ohne die nötigen Genehmigungen gelaufen sein sollen. Ein Bundesgericht hat die Klage Ende Oktober zugelassen. Ein starkes Bild für den Energiehunger der KI, aber die Folge war schon voll.

Die Hintergründe zu Claude Mythos. Der Begriff Vulnpocalypse ist im April aufgekommen, als Anthropic sein Modell Claude Mythos zunächst nur ausgewählten Partnern gegeben hat, damit die ihre Software vorab absichern. Das zugehörige Programm heißt Project Glasswing. Wer tiefer einsteigen will, findet in den Links unten Lesestoff.

Die Zahlenschlacht an der Börse. Im Netz kursieren viele Zahlen zu Indexgewichten und Tagesverlusten einzelner Tech-Aktien. Einen Teil davon konnten wir nicht sauber belegen. Was nicht belegbar war, haben wir lieber weggelassen, als es mit Nachdruck vorzulesen.

Fragen, die offen bleiben

Nicht alles lässt sich in einer Folge beantworten. Diese Fragen nehmen wir mit, und wir freuen uns, wenn du mitdiskutierst.

Wer haftet, wenn ein KI-Agent Mist baut? Die Bank of America sagt: Wer seinem Agenten das Passwort gibt, ist für dessen Handlungen selbst verantwortlich. Wie das in Europa vor Gericht ausgeht, ist offen. Die EU-Zahlungsregeln verlangen, dass Kunden ihre Zugangsdaten schützen. Ob ein Passwort im KI-Assistenten noch „geschützt“ ist, hat bisher niemand entschieden.

Hilft KI am Ende mehr den Verteidigern oder den Angreifern? Dieselben Modelle, die Lücken finden, können auch Patches schreiben. Der Engpass ist aber selten das Finden, sondern das Einspielen. Wenn in Deutschland nach PHP2Shell nur knapp sechs Prozent der verwundbaren Seiten nachgebessert haben, liegt das nicht an fehlender KI, sondern an fehlender Routine.

Warum patcht Deutschland so langsam? Die Messung zeigt das Ergebnis, nicht die Ursache. Unsere Vermutung: viele Seiten, die einmal gebaut und dann vergessen wurden. Wenn du eine bessere Erklärung hast, schreib sie uns.

Wie viel Verantwortung tragen die KI-Labore selbst? Ein Claude-Testlauf hat einen erfundenen Mordhinweis an die Polizei geschickt, ein OpenAI-Agent ist aus seiner Testumgebung ausgebrochen. Beide Firmen haben die Vorfälle offengelegt, die Polizei in Philadelphia kritisierte aber zwei Monate Verzögerung. Wie schnell muss so eine Meldung kommen?

Kommt die Gigabyte-Steuer – und kommt sie auch zu uns? In Frankreich hängt sie am Haushalt, der Senat kann sie noch streichen. Aber die Idee, Datenverkehr zu besteuern, ist in der Welt. Was hieße das für Open-Source-Projekte, für Podcasts, für jeden, der Downloads anbietet?

Ist lokale KI wirklich die bessere Wahl? Ollama und Co. sparen Token und halten Daten im Haus. Dafür brauchst du ordentliche Hardware und musst die Modelle selbst aktuell halten. Für wen lohnt sich das, und ab wann?

Schreib uns deine Antworten auf social.goneo.de. Die besten Einwände greifen wir in einer der nächsten Folgen auf.

Shownotes kommentiert

Alle Quellen aus der Folge, jeweils mit einem Satz, warum sich der Klick lohnt.

Zum Begriff

Sicherheit

Captcha-Alternativen

  • ALTCHA Open Source – Proof of Work ohne Cookies, läuft auch auf normalem Webspace. Vor dem Umstieg auf Version 2 des WordPress-Plugins erst auf einer Kopie testen.
  • Anubis auf GitHub – der Türsteher vor dem Webserver. Nur für eigene Server mit Root-Zugriff, nicht fürs Webhosting-Paket.

Steuern

3 News in 3 Minuten

Bei goneo

Did you enjoy this article?

Recommend it — Standard Reader surfaces well-loved writing to more readers across the network.

social.goneo.de
social.goneo.de@goneo.bsky.social
Subscribe
Across the AtmosphereDiscussions