Der Sicherheitsanbieter Chainguard meldet, dass seine Athena-Koalition binnen drei Wochen über 40.000 Schwachstellen verarbeitet hat. Mitbegründer Dan Lorenc warnt in diesem Zusammenhang vor einem „margin call“ für Open Source: Die Geschwindigkeit, mit der KI-Systeme mittlerweile Sicherheitslücken aufspüren, überfordere die Kapazitäten vieler Projekte, diese auch zu beheben.
Ein KI-Modell findet Zehntausende Issues
Wie Chainguard weiter berichtet, entdeckte das Anthropic-Claude-Modell mit dem Namen „Mythos“ in über 1.000 Projekten insgesamt 23.019 Issues, davon 6.202 als hoch oder kritisch eingestuft. Gepatcht wurden davon bislang lediglich 6 Prozent. Die National Vulnerability Database (NVD) verzeichnet laut Chainguard inzwischen drei- bis viermal mehr gemeldete Schwachstellen pro Woche als noch vor einem Jahr.
Ein ähnliches Bild zeigt sich beim chinesischen Anbieter Z.ai: Dessen Modell GLM-5.3, veröffentlicht Mitte August, fand nach Unternehmensangaben 2.436 Schwachstellen in 269 Open-Source-Projekten, darunter 107 kritische und 990 als hoch eingestufte Fälle. 53 dieser Funde wurden bereits öffentlich gemacht, 2.383 stehen weiterhin unter Embargo.
Bemerkenswert ist laut Z.ai das Alter der entdeckten Lücken: Im Schnitt sind sie 26,6 Jahre alt, die älteste stammt aus dem Jahr 1981. Die Veröffentlichung der Modellgewichte von GLM-5.3 hatte sich dem Unternehmen zufolge auf Ende August verzögert.
In Benchmark-Tests erreichte das Modell im CyberGym-Test 84,5 Prozent gegenüber 83,8 Prozent bei Wettbewerbern, im ExploitBench-Test hingegen nur 54,4 Prozent gegenüber 78,0 Prozent der Konkurrenz.
Strukturelles Problem bei Paketpflege
Z.ai verweist zudem auf ein strukturelles Problem der Software-Lieferketten: Auf der Plattform PyPI hatten 39,3 Prozent der Top-84-Pakete in den vergangenen 90 Tagen keine Aktualisierung erhalten, bei npm betraf dies 28,3 Prozent der 46 Kernpakete.
Auch der Linux-Kernel steht laut Berichten unter Druck: Er nähere sich einem Rekordwert von fast 2.000 Schwachstellen pro Release, während KI-gestützte Bug-Jäger inzwischen rund 40 Millionen Zeilen Code durchsuchen. Die Maintainer seien von der Zahl der CVE-Funde „völlig überfordert“.
Angesichts der rasanten Zunahme automatisierter Angriffe müssen Unternehmen ihre IT-Sicherheit ohne teure Investitionen stärken. Dieses Gratis-E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken und Unternehmen proaktiv schützen
Reaktionen aus Industrie und Aufsicht
Der Befund reiht sich in eine breitere Entwicklung ein: Ein Red-Team-Projekt im Bitcoin-Umfeld scannte 150 Repositories und fand mehr als zwölf Schwachstellen, bei laufenden Kosten von rund 20.000 US-Dollar bislang und 10.000 US-Dollar pro Tag – im Schnitt wurde dabei ein kritischer Exploit pro Stunde und Person entdeckt.
Red Hat wiederum setzt mit seinem Projekt „Hummingbird“ auf über 65 gehärtete Container-Images und mehr als 400 RPM-Pakete, mit dem Ziel, kritische Sicherheitslücken innerhalb von 24 Stunden zu schließen, unterstützt durch KI-Agenten wie Gemini 3.1 Pro und Claude Sonnet.
Auch Regulierungsbehörden reagieren auf die Entwicklung. Die US-Cybersicherheitsbehörde CISA verpflichtet Bundesbehörden seit einer im Juni erlassenen Direktive dazu, Schwachstellen mit dem höchsten Risiko binnen drei Tagen zu patchen – bislang waren dafür zwei bis drei Wochen vorgesehen.
Wer sich mit dem Einsatz moderner Technologien befasst, muss auch die neuen rechtlichen Rahmenbedingungen wie den EU AI Act im Blick behalten. Dieser kostenlose Download verschafft Ihnen den Überblick über Fristen, Pflichten und Risikoklassen, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen
Das US-Finanzministerium hat parallel ein KI-gestütztes „Clearinghouse“ namens „Gold Eagle“ eingeführt, das sein bestehendes VINCE-System ergänzt. Die Europäische Zentralbank forderte Finanzinstitute in einem Schreiben vom Juli auf, bis Ende Oktober einen Plan zur Bewältigung von KI-gestützten Cyberbedrohungen vorzulegen, mit Schwerpunkt auf der Modernisierung veralteter Infrastruktur.
Laut einer von TechGig zitierten Erhebung berichten inzwischen 82 Prozent der Organisationen von wachsendem Sicherheits-Rückstand, im Vorjahr waren es 74 Prozent. Der Befund unterstreicht, dass KI-Systeme Schwachstellen zwar deutlich schneller finden als Menschen – ihre Behebung aber weiterhin ein Nadelöhr bleibt.
