Oracle setzt Mythos und andere KI-Modelle gegen den eigenen Code ein

Oracle lässt Mythos und weitere KI-Modelle den eigenen Code durchsuchen

Oracle nutzt KI-Modelle, um Schwachstellen im eigenen Code aufzuspüren. Juan Loaiza, Executive Vice President Oracle Database Technologies, sagte im Interview auf der Oracle AI World (SiliconANGLE): Im März habe Oracle Early Access auf das Modell Mythos erhalten und es gegen den eigenen Code laufen lassen. Es habe „all these security vulnerabilities“ gefunden, nach seiner Darstellung auch „very serious security issues“. Man habe von einem „Code Red“-Moment gesprochen: „the house is on fire“. Das ist Loaizas Selbsteinschätzung. Schweregrade belegt das Material nicht.

Gary Miller, Executive Vice President Customer Success, sagte laut Computer Weekly, Oracle sei in diesem Jahr in das KI-Sicherheitsprogramm Glasswing aufgenommen worden. Ein Datum nannte er nicht. Oracle arbeitet mit mehreren Modellen in Stufen: Eines findet eine Lücke, ein zweites prüft, ob sie real ist. Weitere Modelle programmieren und testen den Fix. Beide Aussagen stammen aus Gesprächen mit Oracle-Managern. Eine Oracle-Primärquelle liegt nicht vor.

1.449 Patches und 3.000 Funde pro Quartal: zwei Zahlen, zwei Bezugsgrößen

The Register nennt 1.449 Sicherheitspatches im jüngsten Quartalspaket und spricht von einem Rekord. Die Zahl könnte zum Teil auf den im April angekündigten internen KI-Einsatz zur Schwachstellensuche zurückgehen.

Miller sagte, Oracle finde derzeit rund 3.000 Schwachstellen pro Quartal. Das sei vergleichbar mit der Rate bei Microsofts Patch Tuesday. In den vorangegangenen sieben Tagen seien etwa acht Echtzeit-Patches erschienen.

Die beiden Zahlen lassen sich nicht gleichsetzen. Vermutlich messen sie Verschiedenes: ausgelieferte Patches im Quartalspaket auf der einen Seite, intern gefundene Schwachstellen auf der anderen. Möglicherweise fließen Cloud-Fixes und Echtzeit-Patches ein. Das Material klärt die Differenz nicht.

Den Großteil der Reaktion auf KI-entdeckte Lücken liefert Oracle laut SiliconANGLE über die regulären Quartals-Patches. Als Absicherung gegen Schäden in Produktivsystemen nennt Oracle Real Application Testing.

Agenten-Kontrollen wandern in die Datenebene, das Wie bleibt offen

Die zweite Front liegt in der Datenebene. Laut Loaiza unterlaufen KI-Agenten und KI-generierter Code Sicherheitsregeln, die in Anwendungen geschrieben sind. Oracle verlagere Agenten-Kontrollen deshalb in die Datenbank. Wie das technisch funktioniert, beschreibt das Material nicht. Produktname, Version, Verfügbarkeit und Preis sind nicht belegt. Die Oracle-Primärquelle lieferte nur eine Fehlerseite.

Für Betreiber von Oracle-Installationen heißt das nach bisherigem Stand: größere und häufigere Patch-Wellen. Miller zufolge verändert sich außerdem die Zusammenarbeit mit Kunden beim Patchen. Oracle begründet die höhere Frequenz damit, dass auch Angreifer KI-Modelle nutzen und Lücken schnell finden. Belegt ist das im Material nicht.