Hype um "Claude Mythos"?

Die Diskussion um KI-gestützte Schwachstellenanalysen, etwa durch Claude Mythos, wird häufig von der Sorge begleitet, dass KI plötzlich völlig neue Sicherheitsprobleme entdeckt und damit Software grundsätzlich unsicherer macht.

Diese Sichtweise greift zu kurz.

Die überwiegende Mehrheit der von modernen KI-Systemen identifizierten Schwachstellen gehört zu seit Jahren bekannten Fehlerklassen.

Sie sind in etablierten Wissenssammlungen wie der MITRE Corporation-Datenbank der Common Weakness Enumeration (CWE) umfassend dokumentiert. Sie werden seit Jahrzehnten in Richtlinien wie den OWASP Top 10, den CWE Top 25 oder den CERT Secure Coding Standards beschrieben.

Zu den häufigsten Beispielen gehören u.a.:

• fehlende Eingabevalidierung,

• Pufferüberläufe,

• SQL-Injection,

• Cross-Site-Scripting,

• fehlerhafte Authentifizierung,

• unsichere Kryptographie,

• Speicherfehler,

• unzureichende Rechteprüfungen.

Keine dieser Schwachstellen ist neu!

Das eigentliche Problem ist nicht fehlendes Wissen

Die Softwareindustrie weiß seit vielen Jahren, wie sich diese Fehler vermeiden lassen. Es existieren:

• etablierte Secure-Coding-Richtlinien,

• statische Codeanalysen,

• dynamische Tests,

• Penetrationstests,

• Threat Modeling,

• Code Reviews,

• DevSecOps-Prozesse,

• Software Composition Analysis.

Auch regulatorisch wurden die Anforderungen kontinuierlich verschärft, beispielsweise durch die NIS-2-Richtlinie, DORA oder den Cyber Resilience Act. Und Software ist mittlerweile auch Teil der Produkthaftungsvorgaben der EU, das war vorher nicht der Fall.

Das Wissen ist also vorhanden, die rechtlichen Vorgaben sind da.

Warum existieren diese Schwachstellen trotzdem?

Die Ursachen sind häufig organisatorischer als technischer Natur. In der Praxis entstehen Schwachstellen oft durch:

• Zeitdruck in Entwicklungsprojekten,

• fehlende Secure-by-Design-Prozesse,

• technische Altlasten,

• unzureichende Budgets,

• fehlende Sicherheitskompetenz,

• Priorisierung neuer Funktionen gegenüber Sicherheit,

• wirtschaftliche Abwägungen.

Mit anderen Worten: Viele Schwachstellen existieren nicht, weil sie unbekannt wären, sondern weil ihre Beseitigung Zeit, Geld und personelle Ressourcen erfordert.

Aber nicht jede Schwachstelle kann ausgenutzt werden, da ggf. relevante Code-Teile gar nicht benutzt werden, oder Gegenmaßnahmen im Rahmen der Archtitektur die Folgen verhindern. Es muss also nicht immer gleich kritisch sein.

Und solange sich die Lösung verkaufen lässt und funktioniert, die Schwachstellen nur kleine Probleme verursachen, geht "time to market" vor "fehlerlos". Bei vielen steht auch der Profit im Vordergrund. Wozu die Schwachstellen beseitigen, wenn der Kunde trotzdem kauft? Da muss man realistisch sein.

Was KI tatsächlich verändert

KI-Systeme wie Claude Mythos verändern deshalb weniger die Sicherheitslage als vielmehr die Transparenz und Geschwindigkeit sowie die Verfügbarkeit des Wissens darum. Sie können:

• große Codebasen in kurzer Zeit analysieren,

• bekannte Schwachstellen systematisch erkennen,

• Zusammenhänge herstellen,

• Prioritäten ableiten,

• Entwickler auf Risiken hinweisen.

Dadurch sinkt der Aufwand erheblich, bereits bekannte Schwachstellen sichtbar zu machen. Man muss nicht mehr erfahrene Penetration Tester damit beauftragen.

Die eigentliche Neuerung liegt in der Geschwindigkeit und Skalierbarkeit der Analyse und der Veröffentlichung.

Mehr Transparenz erhöht den Handlungsdruck

Genau hierin liegt möglicherweise die eigentliche Bedeutung solcher Systeme. Solange Schwachstellen unentdeckt bleiben oder nur von Experten mit viel Aufwand zu finden sind, können Organisationen argumentieren, dass sie von ihnen nichts wussten oder angesichts der Komplexität nicht davon ausgehen, daß eine Ausnutzung wahrscheinlich ist.

Wenn KI dieselben Schwachstellen jedoch innerhalb weniger Minuten identifiziert, wird diese Argumentation zunehmend schwer haltbar. Die Diskussion verschiebt sich damit von

„Wir kannten die Schwachstelle nicht.“ bzw. "Das ist unkritisch, da schwierig zu finden und auszunutzen"

zu

„Warum wurde eine bekannte Schwachstelle nicht behoben?“

Für Unternehmen steigen damit die Anforderungen an ihre Sorgfaltspflichten und an den Nachweis eines wirksamen Schwachstellenmanagements.

Kritikalität und Gegenmaßnahmen

Aber selbst wenn ein Modell eine Schwachstelle findet, sind die Schritte bis zu einem funktionierenden Angriff oft komplex. Es gibt viele Schutzmechanismen, die umgangen werden müssen. Das erfordert weiterhin Fachwissen. Aber weniger erfahrene Angreifer könnten mit Unterstützung solcher Modelle deutlich mehr erreichen als früher. Genau darin liegt die Gefahr.

Würden jetzt zeitnah alle Schwachstellen geschlossen, wäre Software insgesamt sicherer. Im schlimmsten Fall gibt es aber so viele Informationen zu den Schwachstellen und kriminelle Kreise, die diese ausnutzen, dass die Verteidiger gar nicht mehr nachkommen, diese auszubessern.

Ein zentrales Problem ist das Schliessen der Lücken. Ohne geeignete Vorgaben (was ist zu schliessen und wann, etc.), Fachleute, Tools und Budget bzw. Wissen kann das nicht geschehen. Auch die Produktpolitik ist gefordert. Welches Produkt mit welchen Schwachstellen kann oder muss noch "gewartet" werden, welches geht vom Markt?

Updatepolitik und Backups

Wenn plötzlich viel mehr kritische Sicherheitslücken bekannt werden und auf fehlende Updates treffen, steigt das Risiko, dass nicht aktualisierte Systeme massenhaft angreifbar sind. Oft werden Lücken im Rahmen eines Softwareupdates oder mit Patches geschlossen. Aber auch das will geplant werden, das professionelle "Staging" kostet auch Zeit. Man hat das Dilemma, daß konkurrierende Ziele (schneller Update vs. sicherer Update) vorhanden sind. Viele Menschen und Organisationen installieren Updates aber entweder nicht oder sehr spät.

Eine funktionierene Update-Politik und gute Backups sind daher unumgänglich. Diese sollten von der IT betreut werden. Die Regeln müssen in den Richtlinien definiert werden.

Fakten

Claude Mythos macht Software nicht von sich aus unsicherer. Es macht vorhandene Unsicherheiten schneller und umfassender sichtbar! Die meisten identifizierten Schwachstellen beruhen auf seit Langem bekannten Fehlerklassen. Die eigentliche Herausforderung besteht daher nicht darin, mit einer „neuen Art“ von Schwachstellen umzugehen, sondern bekannte Sicherheitsmängel konsequenter zu vermeiden und schneller zu beheben.

KI erhöht dabei vor allem die Transparenz – und damit den Druck auf Organisationen, bewährte Secure-Development- und Vulnerability-Management-Prozesse wirksam umzusetzen. Das ist weniger ein technologischer Umbruch als vielmehr ein Fortschritt bei der Verbesserung der Softwarequalität im Bereich "Sicherheit". Die Frage ist, was man für seine eigene Organisation tun kann, um mehr Sicherheit zu schaffen. Die KI kann auch helfen, Lücken zu schließen!

Und wer angesichts der Fakten jetzt aktiv die internen Anpassungen und die Organisation für den Cyber Resilience Act umsetzt, der ist sicher gut unterwegs!

Ein funktionierendes ISMS ist auf jeden Fall eín gutes Hilfsmittel, denn dort können alle Aspekte verankert und aufeinander abgestimmt werden.

Wir stellen Ihnen gerne ein ISMS vor! Fragen Sie uns.