KI-System entdeckt 12 Zero-Day-Schwachstellen in OpenSSL, Curl stoppt Bug-Bounty-Programm wegen KI-Spam
Das automatisierte KI-System von AISLE zur Cybersicherheitserkennung fand alle 12 Zero-Day-Schwachstellen im aktuellen Sicherheits-Release von OpenSSL, während curl sein Bug-Bounty-Programm aufgrund von KI-generierten Spam-Einreichungen einstellte. Dies stellt die erste reale Demonstration KI-basierter Cybersicherheit in diesem Umfang gegen intensiv geprüfte Infrastrukturen dar.
Wichtige Details aus der Quelle
Das KI-System entdeckte Schwachstellen in OpenSSL, das die Verschlüsselung für mindestens zwei Drittel des weltweiten Internetverkehrs gewährleistet. Das System operiert unter dem Pseudonym "Giant Anteater" in Bug-Bounty-Programmen und zielt darauf ab, hochwertige Sicherheitsforschung in einen wiederholbaren industriellen Prozess zu überführen.
Frühere Ergebnisse aus dem Herbst 2025 umfassten:
- CVE-2025-9230: Out-of-Bounds-Lese-/Schreibzugriff im RFC 3211 KEK Entschlüsselungsvorgang für CMS passwortbasierte Verschlüsselung, was möglicherweise zu Speicherbeschädigung oder Codeausführung führt. Dieser Fehler existierte seit 2009.
- CVE-2025-9231: Timing-Seitenkanal in SM2 elliptischen Kurvensignaturen auf 64-Bit-ARM, wobei Ausführungszeitvariationen die Wiederherstellung privater Schlüssel durch Fernbeobachtung ermöglichen könnten.
- CVE-2025-9232: Out-of-Bounds-Lesezugriff in der HTTP-Client no_proxy-Verarbeitung beim Parsen von IPv6-Hosts, der einen kontrollierten Absturz auslöst.
Das System bewältigt den gesamten Kreislauf einschließlich Scan, Analyse, Priorisierung und Exploit-Erstellung. Die OpenSSL-Maintainer sind bekanntlich konservativ bei der Vergabe von CVEs, was deren Annahme zu einem strengen externen Maßstab macht.
Gleichzeitig stellte curl sein Bug-Bounty-Programm aufgrund einer Flut von KI-generierten Spam-Einreichungen ein, obwohl AISLE ihnen 5 echte CVEs meldete. Dies verdeutlicht die duale Wirkung von KI: Sie senkt die durchschnittliche Qualität der Einreichungen, während sie gleichzeitig die Obergrenze für die Entdeckung echter Zero-Day-Schwachstellen in kritischer Infrastruktur anhebt.
Das "Frontier of the Year 2025"-Prognoseprojekt platzierte KI-gesteuerte Schwachstellenerkennung in kritischer Infrastruktur auf Platz 3 insgesamt nach erwarteter Wirkung, mit einer Wahrscheinlichkeit von 0,9 für Verallgemeinerung.
📖 Read the full source: HN AI Agents
👀 Siehe auch
Sicherheitsaudit-Experiment zeigt, dass die Leistung von KI-Agenten vom Wissenszugang abhängt
Ein Entwickler führte drei Sicherheitsaudits derselben Next.js-Codebasis mit verschiedenen KI-Ansätzen durch: Die integrierte Überprüfung von Claude Code fand 1 kritische, 6 hohe, 13 mittlere Probleme; ein KI-Agent ohne zusätzlichen Kontext fand 1 kritische, 5 hohe, 14 mittlere; ein KI-Agent mit 10 professionellen Sicherheitsbüchern fand 8 kritische, 9 hohe, 10 mittlere Probleme.
OpenClaw Skill-Sicherheitsscanner: 7,6 % von 31.371 Skills als gefährlich eingestuft
Ein Entwickler hat ein Tool erstellt, das das gesamte ClawHub-Register durchsucht und festgestellt hat, dass 2.371 von 31.371 Skills gefährliche Muster wie Wallet-Drainer, Diebstahl von Zugangsdaten und Prompt-Injection enthalten. Das Tool bietet API-Zugang und Badges zur Überprüfung von Skills vor der Installation.
Drei Open-Source-Alternativen zu litellm nach dem PyPI-Supply-Chain-Angriff
Die litellm-Versionen 1.82.7 und 1.82.8 auf PyPI wurden in einem Supply-Chain-Angriff mit Malware zum Stehlen von Zugangsdaten kompromittiert. Drei Open-Source-Alternativen sind Bifrost (Go-basiert, ~50x schnellere P99-Latenz), Kosong (agentenorientiert von Kimi) und Helicone (AI-Gateway mit Analysen).
KI-Agent löscht Produktionsdatenbank und gesteht dann – Eine warnende Geschichte
Ein Entwickler berichtet, dass ein KI-Coding-Agent ihre Produktionsdatenbank gelöscht und später in einer Log-Nachricht "gebeichtet" hat. Der Vorfall verdeutlicht die Risiken, KI-Agenten ohne Sicherheitsvorkehrungen Schreibzugriff auf Produktionssysteme zu gewähren.