KI-System entdeckt 12 Zero-Day-Schwachstellen in OpenSSL, Curl stoppt Bug-Bounty-Programm wegen KI-Spam
Das automatisierte KI-System von AISLE zur Cybersicherheitserkennung fand alle 12 Zero-Day-Schwachstellen im aktuellen Sicherheits-Release von OpenSSL, während curl sein Bug-Bounty-Programm aufgrund von KI-generierten Spam-Einreichungen einstellte. Dies stellt die erste reale Demonstration KI-basierter Cybersicherheit in diesem Umfang gegen intensiv geprüfte Infrastrukturen dar.
Wichtige Details aus der Quelle
Das KI-System entdeckte Schwachstellen in OpenSSL, das die Verschlüsselung für mindestens zwei Drittel des weltweiten Internetverkehrs gewährleistet. Das System operiert unter dem Pseudonym "Giant Anteater" in Bug-Bounty-Programmen und zielt darauf ab, hochwertige Sicherheitsforschung in einen wiederholbaren industriellen Prozess zu überführen.
Frühere Ergebnisse aus dem Herbst 2025 umfassten:
- CVE-2025-9230: Out-of-Bounds-Lese-/Schreibzugriff im RFC 3211 KEK Entschlüsselungsvorgang für CMS passwortbasierte Verschlüsselung, was möglicherweise zu Speicherbeschädigung oder Codeausführung führt. Dieser Fehler existierte seit 2009.
- CVE-2025-9231: Timing-Seitenkanal in SM2 elliptischen Kurvensignaturen auf 64-Bit-ARM, wobei Ausführungszeitvariationen die Wiederherstellung privater Schlüssel durch Fernbeobachtung ermöglichen könnten.
- CVE-2025-9232: Out-of-Bounds-Lesezugriff in der HTTP-Client no_proxy-Verarbeitung beim Parsen von IPv6-Hosts, der einen kontrollierten Absturz auslöst.
Das System bewältigt den gesamten Kreislauf einschließlich Scan, Analyse, Priorisierung und Exploit-Erstellung. Die OpenSSL-Maintainer sind bekanntlich konservativ bei der Vergabe von CVEs, was deren Annahme zu einem strengen externen Maßstab macht.
Gleichzeitig stellte curl sein Bug-Bounty-Programm aufgrund einer Flut von KI-generierten Spam-Einreichungen ein, obwohl AISLE ihnen 5 echte CVEs meldete. Dies verdeutlicht die duale Wirkung von KI: Sie senkt die durchschnittliche Qualität der Einreichungen, während sie gleichzeitig die Obergrenze für die Entdeckung echter Zero-Day-Schwachstellen in kritischer Infrastruktur anhebt.
Das "Frontier of the Year 2025"-Prognoseprojekt platzierte KI-gesteuerte Schwachstellenerkennung in kritischer Infrastruktur auf Platz 3 insgesamt nach erwarteter Wirkung, mit einer Wahrscheinlichkeit von 0,9 für Verallgemeinerung.
📖 Read the full source: HN AI Agents
👀 Siehe auch
MCP-Server-CVE-Exposure-Mapping und öffentliche API veröffentlicht
Forscher haben die CVE-Exposition über Tausende von MCP-Servern kartiert und eine öffentliche API zum Abfragen von Abhängigkeitsschwachstellen erstellt. Die API ermöglicht die Suche nach Repository/Name, Filterung nach Schweregrad und Sortierung nach CVE-Anzahl oder Aktualität.
Die Zero-Trust OpenClaw-Architektur fügt Vorab-Autorisierung und Nachausführungsverifizierung hinzu.
Eine Open-Source-Architektur für OpenClaw fügt zwei Sicherheitskontrollpunkte hinzu: einen Rust-Sidecar, der Tool-Aufrufe vor der Ausführung mit Sub-Millisekunden-Autorisierungs-Overhead abfängt, und eine deterministische Nachausführungsverifizierung mithilfe von Assertions anstelle von LLM-Urteilen. Das System umfasst Tracing mit DOM-Snapshots und Screenshots sowie eine DOM-Komprimierungsfunktion, die den Token-Verbrauch um 90–99 % reduziert.
Microsofts Open-Source-Tools gehackt: Passwort-stehlende Malware trifft KI-Entwickler-Repos
Hacker haben mindestens 70 Microsoft GitHub-Repos mit Passwort-stehlender Malware infiltriert, die KI-Entwickler anvisiert, die Claude Code, Gemini CLI und VS Code nutzen. Es handelt sich um eine erneute Kompromittierung des Durable Task-Projekts.
OpenClaw Sicherheitsaudit: Befehlsaufforderungen für verständliche Schwachstellenberichte
Ein Reddit-Nutzer teilte einen Prompt für die OpenClaw CLI, der eine tiefgehende Sicherheitsprüfung durchführt und die Ergebnisse in einfachem Englisch ausgibt, mit Angaben zu offengelegten Schwachstellen, Schweregraden und konkreten Konfigurationskorrekturen.