Anderen KI-Systemen zuvorkommen
Überdies gab Pak zu verstehen, Theori habe potenziellen Angreifern mit der zügigen Offenlegung zuvor kommen wollen. "Da der Patch bereits seit einiger Zeit in der Hauptversion enthalten war und eine CVE-Nummer zugewiesen worden war, befürchteten wir, dass KI-Systeme, die Commits überwachen, die Schwere des Fehlers automatisch erkennen könnten", schrieb der CEO auf X.
Im Bereich der offensiven Sicherheit sei eine solche Vorgehensweise gängige Praxis. Auch Angreifern sei dies bekannt. Daher habe sich sein Team für eine sofortige Offenlegung entschieden. "Mit den heutigen KI-Codierungstools dauert es ohnehin nur Stunden, um aus einer CVE und einem Commit einen funktionierenden Exploit zu machen", erklärte Pak weiter.
Vibe-Coded Advisory stiftet Verwirrung
Die unzureichende Koordination mit den Linux-Maintainern ist jedoch nicht der einzige Vorwurf, dem Theori ausgesetzt ist. Denn die Forscher haben wohl nicht nur KI genutzt, um Copy Fail aufzuspüren, sondern auch für die Erstellung(öffnet im neuen Fenster) der zugehörigen Berichte(öffnet im neuen Fenster). In diesen wurde dabei schon am Tag der Offenlegung der Eindruck erweckt, Updates für betroffene Distributionen seien breit verfügbar.
Laut Dormann(öffnet im neuen Fenster) gab es jedoch zu dieser Zeit für die gängigsten Linux-Varianten noch gar keine entsprechenden Updates – weder bei Red Hat(öffnet im neuen Fenster) noch bei Ubuntu(öffnet im neuen Fenster), Amazon Linux(öffnet im neuen Fenster), Debian(öffnet im neuen Fenster) oder Suse(öffnet im neuen Fenster). Es gab zwar Sicherheitsmeldungen zu Copy Fail, aber noch keine offiziellen Korrekturen. Mittlerweile kommt der in den Kernel eingepflegte Patch aber tatsächlich bei den Distributionen an, so dass immer mehr Nutzer ihn per Update einspielen können.
Hinzu kommt, dass Theori einen Workaround vorgeschlagen hat, der auf einige Systeme wohl gar nicht anwendbar ist. Dormann verweist als Alternative auf die Sicherheitsmeldung von Red Hat(öffnet im neuen Fenster). Diese enthält Boot-Argumente, die sich beispielsweise in die Grub-Konfiguration eintragen lassen, um die anfälligen Systemkomponenten zu deaktivieren, bis der Patch eingespielt werden kann.
- Anzeige Hier geht es zu Künstliche Intelligenz: Wissensverarbeitung bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.