KI bricht die zwei Verwundbarkeitskulturen: Koordinierte Offenlegung vs. Linux' "Bugs sind Bugs"

Jeff Kaufmans Beitrag „AI Is Breaking Two Vulnerability Cultures“ untersucht die Spannungen zwischen koordinierter Offenlegung und dem Ansatz von Linux, wonach Fehler einfach Fehler sind – beschleunigt durch KI. Die Copy Fail-Sicherheitslücke (gemeldet im Mai 2026) verdeutlicht den Bruch: Hyunwoo Kim befolgte das übliche Linux-Verfahren – er meldete sie privat an einen geschlossenen Kreis von Sicherheitsingenieuren, während er die Korrektur still und leise im offenen Code vornahm. Aber jemand bemerkte die Änderung, erkannte die Sicherheitsimplikationen und machte sie sofort öffentlich, womit die Embargofrist endete.

Die zwei Kulturen

• Koordinierte Offenlegung: Privat melden, Maintainern etwa 90 Tage Zeit geben. Ziel: Patch, bevor die Öffentlichkeit davon erfährt. Aber durch KI-gestützte Scans ist die unabhängige Wiederentdeckung häufig – in diesem Fall fand Kuan-Ting Chen nur 9 Stunden nach Kims Meldung denselben Fehler.
• Linux „Bugs are bugs“: Schnell fixen, ohne Aufmerksamkeit zu erregen. Das Argument: Wenn der Kernel etwas falsch macht, könnte jemand es ausnutzen. Aber da KI immer besser darin wird, Schwachstellen zu finden, steigt das Signal-Rausch-Verhältnis bei Commits, was deren Überprüfung attraktiver und günstiger macht.

Warum KI alles verändert

Kaufman testete drei KI-Modelle mit dem Fix (f4c50a403): Gemini 3.1 Pro, ChatGPT-Thinking 5.5 und Claude Opus 4.7 identifizierten ihn sofort als Sicherheitspatch. Selbst mit nur dem Diff (ohne Kontext) war Gemini sich sicher, GPT wahrscheinlich, Claude wahrscheinlich. Das bedeutet, dass Embargos – selbst kurze – zunehmend brüchig werden: Verteidiger können KI ebenfalls nutzen, aber Angreifer können Commits schneller scannen.

Kaufman schlägt sehr kurze Embargos (die im Laufe der Zeit weiter verkürzt werden) als pragmatische Reaktion vor, um die Verteidiger durch KI zu beschleunigen. Lange Embargos erzeugen ein falsches Gefühl der Nicht-Dringlichkeit und schränken die Anzahl der Personen ein, die an Fixes arbeiten können.

Lesen Sie den vollständigen Beitrag für eine tiefere Analyse und den spezifischen Prompt, den Kaufman für seine Tests verwendet hat.