Google-KI findet 20 Sicherheitslücken in Open-Source-Software

Google hat mit seinem künstlichen Intelligenz-System Big Sleep erstmals 20 Sicherheitslücken in gängigen Open-Source-Software entdeckt. Das System, entwickelt gemeinsam von DeepMind und der hochspezialisierten Hacker-Gruppe Project Zero, nutzt eine große Sprachmodell-basierte Architektur, um Schwachstellen automatisch zu identifizieren. Die gefundenen Fehler betreffen vor allem Open-Source-Projekte wie die Audio- und Video-Bibliothek FFmpeg sowie das Bildbearbeitungstool ImageMagick. Obwohl die Lücken noch nicht behoben sind und Google daher keine Details zu Schweregrad oder Auswirkungen veröffentlicht, markiert die Entdeckung einen Meilenstein: Big Sleep hat die Schwachstellen ohne menschliche Intervention gefunden und reproduziert – lediglich ein menschlicher Experte war zur Validierung und Berichterstattung im Prozess beteiligt. Heather Adkins, Vice President of Security bei Google, betonte, dass dies die erste echte Leistung eines KI-gestützten Bug-Hunters sei, der nicht nur Hypothesen generiert, sondern konkrete, reproduzierbare Sicherheitslücken aufspürt. Royal Hansen, Vice President of Engineering, bezeichnete die Ergebnisse als „neue Front in der automatisierten Schwachstellenentdeckung“. Big Sleep ist Teil einer wachsenden Generation von KI-Tools, die in der Cybersicherheit eingesetzt werden. Andere Beispiele sind RunSybil und XBOW, wobei XBOW bereits auf HackerOne in die Top-Plätze eines US-amerikanischen Leaderboards aufstieg. Allerdings bleibt die menschliche Überprüfung weiterhin entscheidend – in der Regel dient sie dazu, falsch positive Ergebnisse zu filtern, da KI-Systeme gelegentlich „Halluzinationen“ erzeugen, also scheinbar gültige, aber tatsächlich nicht existierende Fehler. Vlad Ionescu, CTO von RunSybil, begrüßt Big Sleep als ernstzunehmendes Projekt mit guter Architektur und Expertise hinter dem Projekt. Er unterstreicht die Synergie aus Project Zero’s Erfahrung in der Schwachstellenforschung und DeepMinds Ressourcen. Trotz des Potenzials gibt es Kritik: Viele Open-Source-Entwickler klagen über eine Überflutung mit falschen oder unbrauchbaren Bug-Reports, die als „AI-Slop“ bezeichnet werden. Diese Masse an irrelevanter oder fehlerhafter Meldungen belastet die Community und verschwendet wertvolle Zeit. Die Herausforderung liegt nun darin, KI-Systeme so zu optimieren, dass sie nicht nur zahlreiche Vorschläge liefern, sondern hochwertige, handlungsreife Ergebnisse liefern – mit minimaler menschlicher Nacharbeit. Big Sleep zeigt, dass dies möglich ist, aber auch, dass die Balance zwischen Automatisierung und Genauigkeit weiterhin entscheidend ist.