KI SpotlightNewsBSI: KI-Modelle finden Schwachstellen und bauen Exploits weitgehend automatisiert
Bei der kritischen PHP-Lücke rechnete die Behörde binnen Stunden mit KI-gestützter Ausnutzung. Behörden, Städte und Kliniken nahmen Angebote vorsorglich vom Netz.
Mit KI erstelltInhalt
◆ Fakten auf einen Blick
- Das BSI warnt vor kritischen PHP-Schwachstellen, die weltweit Webanwendungen bedrohen.
- Ein Sicherheitsupdate wurde für 16 Uhr erwartet; das BSI empfahl, es umgehend einzuspielen.
- BSI-Vizepräsident Thomas Caspers hielt kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden für wahrscheinlich.
- Infolge der BSI-Warnung nahmen Behörden, Städte und Kliniken Angebote vorsorglich offline.
- Frontier-Modelle wie Claude Mythos und OpenAI GPT-5.5 können Schwachstellen in Quellcode in großem Maßstab finden.
BSI: KI-Modelle finden Schwachstellen und bauen Exploits weitgehend automatisiert
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hält aktuelle KI-Systeme für leistungsfähig genug, Schwachstellen in Software binnen kurzer Zeit umfassend zu erkennen und zu analysieren. Teilweise geschehe das autonom. Dabei lassen sich Lücken auch in verwertbare Angriffspfade überführen. Als Beispiele für solche Frontier-Modelle nennt die Behörde Claude Mythos und OpenAI GPT-5.5. Die Diskussion konzentriere sich darauf, dass solche Modelle Schwachstellen in Quellcode in großem Maßstab finden und Exploit-Code liefern. Beim Reverse Engineering von Binaries beobachtet das BSI ebenfalls einen Fähigkeitenzuwachs. Eine Rolle spielten zudem günstigere, kleinere LLMs.
Als mögliche Folge nennt das BSI eine Lage, in der Organisationen deutlich mehr neu entdeckten Schwachstellen, Exploits, Patches und Folgevorfällen gegenüberstehen. Einzelne Prognosen seien vorsichtig zu lesen. Die Richtung sei jedoch eindeutig. KI senke den Aufwand, den Zeitbedarf und die Einstiegshürden offensiver Cyberfähigkeiten erheblich.
Der Titel des zugrunde liegenden Materials verweist auf eine Befassung des Bundestags mit den Konsequenzen für das BSI. Das Bundestagsdokument selbst liegt nicht vor. Dokumenttyp, Urheber, Datum, Drucksache und Forderungen sind deshalb nicht belegt. Gesichert ist allein die Lageeinschätzung des BSI selbst.
PHP-Lücke: Caspers rechnet mit Ausnutzung binnen weniger Stunden
Anlass war eine Warnung des BSI vor kritischen Schwachstellen in PHP. Nach Behördenangaben bedrohen sie Webanwendungen weltweit. Laut BZ handelt es sich um zwei kritische Lücken, die Remote-Codeausführung ermöglichen könnten. Nach BSI-Angaben seien alle bekannten PHP-Versionen bis mindestens PHP 5 betroffen.
Ein Sicherheitsupdate wurde für 16 Uhr erwartet. Das BSI empfahl, es umgehend einzuspielen. Mit dem Update werde die Schwachstelle nämlich auch für Angreifer nachvollziehbar. BSI-Vizepräsident Thomas Caspers hielt eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Updates für wahrscheinlich. Angreifer könnten die Updates mit KI-gestützten Werkzeugen rasch analysieren und passende Exploits erzeugen.
Behörden, Städte und Kliniken nehmen Angebote vorsorglich vom Netz
Nach dem Hinweis des BSI nahmen Landes- und Polizeibehörden sowie mehrere Städte, darunter Aachen und Düsseldorf, ihre Angebote vorsorglich aus dem Netz, um Updates aufzuspielen. Auch die Universitätskliniken Köln, Bonn und Düsseldorf sowie weitere Kliniken schalteten ihre Seiten ab. Die Kliniken betonten, die Patientenversorgung sei nicht betroffen. An Universitäten waren teils Lernplattformen und Campussysteme eingeschränkt. Zur Dauer der Ausfälle und zu möglichen Schäden liegen keine belegten Angaben vor.
