|
31.07.2026 12:00 Uhr |
Bis Anfang dieses Jahres galt im KI-gestützten Codeaudit: Modelle finden Muster, haben aber kein Verständnis. Sie erkennen bekannte Antipatterns, doch echte, bislang unbekannte Schwachstellen in gut auditierten Codebasen fanden sie nicht. Diese Grenze ist nun gefallen.
Im Februar beschrieb Anthropic in einem Bericht des Frontier Red Teams über 500 bislang unbekannte High-Severity-Schwachstellen in Open-Source-Projekten, die Claude Opus 4.6 ohne speziell angepasstes Set-up gefunden hatte. Im April legte Claude Mythos Preview nach, die neue Generation fand laut Anthropic in jedem großen Betriebssystem und jedem großen Browser Zero-Days, darunter eine siebzehn Jahre alte unauthentifizierte Remote-Code-Execution in FreeBSD (CVE-2026-4747).
Mozilla bestätigte kurz darauf die Praxisrelevanz: Firefox 150 beseitigte 271 latente Sicherheitsbugs, darunter mehrere Sandbox-Escapes, die jahrelangem Fuzzing entgangen waren. Aufgespürt hatte sie ein eigenes, auf Claude Mythos Preview gestütztes Agentic Harness. Insgesamt behob Mozilla im April 423 Sicherheitsbugs, bisher waren zwanzig bis dreißig pro Monat üblich. Mozilla beschreibt den Effekt in seinem Hacks-Blogpost vom 7. Mai in einem Satz: „Suddenly, the bugs are very good.“ Für Verteidiger sind das gute Nachrichten, aber die operativen Sicherheitsworkflows der Branche leiden.