KI-basierte Tools finden mehr Fehler, als menschliche Teams bewältigen können. )

Experten für Cybersicherheit schlagen Alarm wegen künstlicher Intelligenz, und zwar nicht wegen der üblichen Sorge, dass Maschinen sich gegen den Menschen wenden. Ihre Besorgnis ist, dass KI-Tools tatsächlich die Fähigkeit verbessern, Softwarefehler zu entdecken, was eine drängende Frage aufgeworfen hat: wie können diese Fehler schneller behoben werden.

Ein Newsletter von Kernel, verfasst von Lily Hay Newman und Matt Burgess, besagt, dass Unternehmen mehr Sicherheitsupdates als je zuvor veröffentlichen, angetrieben von KI, die Fehler schneller aufspürt. Die Folge ist ein wachsender Berg von Fehlern, die menschliche Teams nicht bewältigen können.

Patch-Nummern brechen Rekorde

Letzte Woche gab Microsoft bekannt, dass es bisher in diesem Monat 2.974 CVEs veröffentlicht hat, was einen neuen Rekord für das Unternehmen darstellt. CVEs steht für Common Vulnerabilities and Exposures, die offizielle Aufzeichnung bestätigter Softwarefehler.

Der Patch-Ansturm ist nicht auf ein einzelnes Unternehmen beschränkt. Oracle veröffentlichte im Juli 1.448 Updates, gegenüber 309 im Juli 2025. Inzwischen veröffentlichte Google Chrome im Juni zwei größere Versionsreleases, die 1.072 Fehler enthielten – mehr als die Gesamtzahl der über alle 23 vorherigen großen Releases zusammen adressierten Schwachstellen.

Im April gab Mozilla bekannt, dass es dank der Verwendung des Mythos-Modells von Anthropic 271 Fehler in Firefox während eines einzigen Bug-Hunting-Sprints entdeckt hat.

Die Zahlen steigen weiter an

Jerry Gamblin, Leiter der Forschung bei Empirical Security und Gründer von RogoLabs, sprach mit dem Newsletter über das CVE-Analyseprojekt cve.icu. Er sagte, dass bis Mittwoch diese Woche unglaubliche 66.401 CVEs registriert wurden.

Bis zum 16. September letzten Jahres hatte cve.icu insgesamt 33.512 CVEs erfasst – fast die Hälfte der aktuellen Gesamtzahl. Im gesamten Jahr 2022, dem Jahr, in dem OpenAI seine erste Version von ChatGPT startete, registrierte cve.icu 25.000 CVEs.

Es gibt viele Fehler zu finden, und die Frage ist, ob die Aufdeckung von Fehlern mehr Gutes als Schaden bewirkt.

Die Entdeckung skaliert mit der Rechenleistung

Der Anstieg ist real, so Gamblin, der argumentiert, dass eine größere Zahl nicht unbedingt das Problem sei. Er wehrte sich gegen die Idee, dass eine größere Zahl an sich der Schaden sei, als er sich an das Newsletter wandte und sagte: „Mehr CVEs sind nicht mehr Anfälligkeit. Es ist mehr bekannte Anfälligkeit, was größtenteils bedeutet, dass das System funktioniert.“

Er warnt, dass die Behebung dieser Probleme ihre eigene Herausforderung darstellt. „Entdeckung skaliert mit Rechenleistung. Behebung skaliert mit Menschen – und Menschen sind der Teil, den man in einem Quartal nicht mehr kaufen kann.“

Es gibt Besorgnis, dass Entwickler bei der Behebung von Sicherheitslücken zurückbleiben werden. Nutzer von Software, die nicht schnell gepatcht werden kann, könnten sich exponiert sehen. Gleichzeitig könnten eine wachsende Zahl von Angriffen durch mehr Angreifer angetrieben werden, die mit Hilfe künstlicher Intelligenz neue Schwachstellen für sich selbst finden.

Das National Cyber Security Centre in Großbritannien macht seine Position klar: „Das Auffinden von Schwachstellen allein verbessert Ihre Sicherheit nicht.“

Verteidiger Nutzen KI Auch

Das Newsletter sprach mit Matthew Olney, der die Bedrohungsanalyse bei Cisco Systems leitet, und er sagte, es gibt zumindest eine brüchige Balance zwischen KI, die die Fehlerfindung beschleunigt, und KI, die diejenigen unterstützt, die sich verteidigen. „Akteure versuchen, genau wie die Industrie, herauszufinden: ‚Wo setze ich KI ein?'“

Viele Forscher glauben, dass der Anstieg und andere Auswirkungen von KI auf die Cybersicherheit entweder katastrophal sein oder lediglich bestehende Probleme und Herausforderungen verstärken werden. Einige haben darauf hingewiesen, dass eine langsame Patch-Übernahme und ein allgemeiner Mangel an Investitionen in die Cybersicherheit den Angreifern bereits vor der Ankunft von KI zahlreiche Vorteile verschafften, was zu Hacking-Desastern führte.

Da die Anzahl der entdeckten Schwachstellen weiter steigt und die Diskussion über die Theorie hinaus in praktische Fragen übergegangen ist, scheinen die beiden Seiten einander näher gerückt zu sein.

Was Das Für Nutzer Bedeutet

Das Newsletter schlägt vor, dass eine KI-Verlangsamung, sei es durch Regulierung oder eine Branchenvereinbarung, eine KI-gesteuerte Massenvernichtung der Menschheit abwenden könnte. Eine solche Verlangsamung würde jedoch nichts daran ändern, die Welle von Schwachstellen zu stoppen, die durch die heutigen KI-Systeme freigesetzt werden.

Der Kontrast zeigt auf, wie schnell sich die Zahlen verändert haben: Unternehmen liefern nun Tausende von Patches innerhalb von Monaten, die einst nur Hunderte erbrachten.

Was dieses Problem schwierig macht, ist der Kostenunterschied zwischen der Identifizierung eines Fehlers und seiner Behebung. Fehler zu finden ist kostengünstig, während die Behebung kostspielig ist, und es gibt einfach nicht genügend qualifizierte Mitarbeiter, um alle notwendigen Reparaturen durchzuführen.

Die unbequeme Wahrheit

Der Kernel Newsletter dokumentiert eine tatsächliche Beschleunigung bei entdeckten Software-Schwachstellen. Die Rekord-Patch-Zahlen sind real. Die Zahlen selbst bezeugen dies. Gamblins Warnung bezüglich der Skalierung der Behebung mit Personal ist ebenfalls real.

Die Besorgnis rührt daher, dass ein Abstand zwischen der Feststellung eines Problems und dessen Behebung besteht. Die Entdeckung ist einfach. Die Reaktion ist schwierig. Es gibt keine Anzeichen dafür, dass KI diesen Abstand bald verringern wird.

Das Newsletter argumentiert, dass der Anstieg der Schwachstellen bereits im Gange ist. Die eigentliche Frage ist, ob das Feld mit der Geschwindigkeit mithalten kann – und ob es überhaupt eine Möglichkeit gibt, diesen Fortschritt zu messen.

Quelle: „Forget the AI Slowdown—the Vulnerability Explosion Is Already Happening,” WIRED.