KI und Cybersecurity: Curl-Entwickler sieht keine Gefahr durch Mythos
Der Entwickler des Open-Source-Kommandozeilentools Curl, Daniel Stenberg, zeigt sich von den Fähigkeiten des KI-Modells Mythos zum Auffinden von Sicherheitslücken nicht begeistert. Wie er in einem Blogbeitrag(öffnet im neuen Fenster) schreibt, sei er zu dem Schluss gekommen, dass es sich bei den Aussagen von Anthropic zu den Fähigkeiten des Modells in erster Linie um Marketing handele und dieses keinen bedeutenden Durchbruch im Bereich der KI-Sicherheit darstelle.
Stenberg erläutert, dass er Curl über die Linux Foundation zur Teilnahme am Projekt Glasswing beantragt hatte, mit dem Anthropic Cybersicherheitsexperten Zugang zu Mythos gewährt. Anstelle eines direkten Zugriffs auf das Modell sei Mythos von einer anderen Person zur Untersuchung der Codebasis von Curl verwendet worden und Stenberg habe erst später einen Bericht erhalten.
Der Bericht, der anhand eines Mythos-Scans des Git-Repositories von Curl erstellt wurde, habe lediglich fünf Punkte beinhaltet, die als bestätigte Sicherheitslücken deklariert worden seien. Stenberg hatte eine deutlich umfangreichere Liste erwartet. Dennoch begannen er und sein Sicherheitsteam, die Punkte zu überprüfen.
Mythos ist zu guter Arbeit fähig
Nach mehreren Stunden blieb laut Stenberg nur noch eine einzige bestätigte Sicherheitslücke übrig. Drei der angeblichen Sicherheitslücken konnten als Fehlalarm identifiziert werden, die durch Mängel im Curl-Code verursacht worden waren; sie waren bereits in der API-Dokumentation des Projekts vermerkt. Den vierten Punkt stufte das Team als Bug ein.
Die verbliebene Schwachstelle wurde als Sicherheitslücke mit niedrigem Schweregrad eingestuft. Abseits der Sicherheitslücken fand Mythos allerdings auch zahlreiche weitere Fehler, an deren Behebung das Curl-Team jetzt arbeitet. Stenberg merkt an, dass deren Beschreibung durch Mythos gut gelungen und das KI-Modell zu guter Arbeit fähig sei. Für einen Durchbruch halte er es allerdings nicht.
Im Fall des Browsers Firefox fand Mythos 271 Sicherheitslücken. Mozilla erwiderte, dass auch menschliche Sicherheitsforscher diese hätten finden können. Dass die KI völlig neue Wege finde, Sicherheitslücken zu entdecken, glaube man bei Mozilla nicht.
- Anzeige Hier geht es zu Künstliche Intelligenz: Wissensverarbeitung bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.