KI-Agenten finden kritische PHP-Lücken
Ein von OpenAI geführtes Bündnis aus Betreuern, Forschern und Sicherheitsanbietern hat in den vergangenen zwei Monaten kritische Schwachstellen in der weltweit verbreiteten Open-Source-Sprache PHP behoben. Das Unternehmen teilte mit, dass der KI-Agent Calif die Fehler mit Hilfe des Modells GPT-5.6 Sol im Rahmen der Initiative Patch the Planet entdeckt habe, während Wiz die Lücken unabhängig fand und meldete. Die Betreuer von PHP verantworteten die Entwicklung und Veröffentlichung der Behebungen. OpenAI, Wiz, Cloudflare und weitere Partner leisteten Forschung, technische Unterstützung und Koordination, um Schutzmaßnahmen vor der öffentlichen Bekanntgabe vorzubereiten. Die Fälle gelten angesichts der enormen Reichweite von PHP als eines der bedeutendsten Sicherheitsereignisse der jüngsten Zeit. Sie zeigen, dass leistungsfähige KI Verteidigern ebenso helfen kann wie Angreifern. Da solche Modelle die Schwachstellen vor mutmaßlichen Angreifern gefunden haben sollen, entstand ein Zeitfenster für Wartungsteams und Sicherheitsanbieter, Patches, Erkennungsregeln und Betriebshinweise vorzubereiten. Zugleich kündigte OpenAI an, eine Milliarde US-Dollar für subventionierten Zugang zu Daybreak für Organisationen mit knappen Sicherheitsressourcen bereitzustellen, die kritische Dienste betreiben. Als Teil der Förderung freier Software sind zudem Abos für Wartungsteams im offenen Softwarebereich und direkte Unterstützungsprojekte wie die Rust Foundation vorgesehen. Als Lehre aus dem PHP-Vorfall schlug OpenAI ein fünfstufiges Vorgehen für kritische Schwachstellen in weit genutzter Software vor. Zunächst sollen Betreuer, Forscher und technische Partner den Befund prüfen, die Auswirkung bewerten und Patches entwickeln, auch mit KI-gestützter Suche nach Umgehungen und verwandten Fehlern. Danach sollen betroffene Organisationen und Verteilungen Zeit erhalten, ältere Versionen anzupassen, Gegenmaßnahmen, Filterregeln für Webanwendungen und Erkennungsdienste vorzubereiten. Die dritte Stufe sieht die Abstimmung mit staatlichen Stellen vor, darunter das Weiße Haus, der Nationale Cyberdirektor, die CISA und internationale Partner, um kritische Infrastrukturen zu schützen. Anschließend sollen Anbieter, Dienstleister und Betreiber über viele Produkte hinweg Updates vorbereiten. Nach Verfügbarkeit der Patches sollen öffentliche Anleitungen helfen, betroffene Systeme zu identifizieren, Zwischenlösungen zu prüfen und funktionierende Updates zu verifizieren. Das Modell räumt den Softwarebetreuern die Entscheidung ein, wen sie vor der Veröffentlichung informieren, und berücksichtigt ihren Schutzumfang, die benötigte Zeit und die Sicherheit sensibler Daten. Auch nach der Veröffentlichung soll die Abstimmung weiterlaufen, falls aktive Ausnutzung, Lecks, aufschlussreiche Patches oder Verzögerungen bei der Behebung das Risiko verändern. Die Community ist ausdrücklich zu Rückmeldungen eingeladen, insbesondere durch Wartungsteams, Forscher, Reaktions- und Betriebsteams sowie unabhängige Sicherheitsexperten.
