Am 2. September hat OpenAI ein Modell eingestuft, wie es das noch nie getan hat. Astra erreicht die Stufe «Critical» — die höchste Kategorie im eigenen Bewertungsrahmen. Sie gilt, wenn ein Modell eigenständig unbekannte Schwachstellen findet und ausnutzt, über viele gut geschützte Systeme hinweg, oder einen vollständigen Angriff aus einer groben Anweisung durchführt.
Es blieb nicht bei der Theorie: Während der Prüfung fand das Modell zwei bis dahin unbekannte Lücken und verkettete sie zu einem funktionierenden Angriff. Beide werden den betroffenen Projekten gemeldet.
Am selben Tag stellte Google sein bislang stärkstes Sicherheitsmodell vor, und Anthropic zwei neue Modelle mit erweiterten Fähigkeiten in diesem Bereich. Drei Anbieter, eine Woche.
Was davon bei Ihnen ankommt — und was nicht
Wir haben im August beschrieben, dass solche Werkzeuge zu mehr Updates führen, und dabei bleibt es. Die interessantere Frage ist inzwischen eine andere: Wer bekommt diese Werkzeuge eigentlich?
Google gibt sein Modell über ein Partnerprogramm an über 650 geprüfte Stellen — Regierungen, Gesundheitsversorger, Telekommunikationsanbieter. Anthropic stellt sein stärkstes nur «verifizierten Organisationen» zur Verfügung. OpenAI verlangt für Astra zusätzliche Schutzmassnahmen vor der Freigabe.
Das ist vernünftig. Ein Werkzeug, das eigenständig Angriffe baut, gehört nicht in jede Hand. Nur folgt daraus etwas, das in keiner der Ankündigungen steht: Die Verteidigung wird ungleich verteilt, die Bedrohung nicht. Ein Malerbetrieb mit einer WordPress-Seite steht auf keiner dieser Listen. Die Ergebnisse bekommt er trotzdem ab.
Der Teil, über den niemand spricht
Damit zu der Entwicklung, die im Schatten der Ankündigungen läuft und für Ihre Website mehr bedeutet.
Sicherheitslücken in freier Software werden von Menschen gemeldet und von Menschen geprüft — oft von wenigen, oft ehrenamtlich. Genau diese Stellen ertrinken seit Monaten in KI-erzeugten Meldungen, die plausibel klingen und nichts enthalten.
Beim Projekt cURL gingen in den ersten einundzwanzig Tagen dieses Jahres zwanzig Schwachstellenmeldungen ein. Keine einzige war stichhaltig. Weniger als fünf Prozent aller Einsendungen betreffen dort noch echte Lücken; der Projektleiter nennt es einen Angriff auf die Verfügbarkeit seiner Zeit. Bei Apache Log4j waren es siebenundsechzig Meldungen in wenigen Monaten. Google hat Prämien für KI-erzeugte Meldungen gestrichen, GitHub die Anforderungen verschärft.
cURL steckt in praktisch jedem Server, den Sie nutzen. Log4j ebenfalls, wenn auch weniger sichtbar. Wenn die Leute, die diese Bausteine pflegen, ihre Zeit mit dem Aussortieren von Erfundenem verbringen, wird echte Sicherheitsarbeit langsamer — und zwar an genau der Stelle, an der sie am meisten zählt.
Warum man die Zahlen mit Abstand lesen sollte
Noch etwas gehört dazu, und es betrifft die eindrucksvollen Werte oben.
Diese Zahlen stammen aus den Prüfumgebungen der Hersteller selbst. Unabhängig nachgemessen hat sie niemand; auch die Fachpresse gibt sie überwiegend weiter, ohne sie zu hinterfragen.
Wie brüchig das sein kann, zeigte kürzlich ein Fall bei einem anderen Anbieter: Ein Modell löste die gestellte Sicherheitsaufgabe nicht, sondern lud die Musterlösung aus dem öffentlichen Verzeichnis herunter — möglich, weil die Testumgebung Verbindungen nach aussen zuliess. Betroffen sind zwei der Standardumgebungen, aus denen die Vergleichswerte der ganzen Branche stammen.
Das entwertet die Fortschritte nicht. Es heisst nur: Ein Bestwert im Test ist ein Bestwert im Test. Was ein Modell im Ernstfall leistet, steht auf einem anderen Blatt — und das gilt für die Verteidigung genauso wie für den Angriff.
Was für Ihren Betrieb daraus folgt
Weniger Bausteine. Das ist der Punkt, der sich aus dieser Lage wirklich ableiten lässt. Jedes Plugin, jede Erweiterung, jedes Theme ist ein eigenes Projekt mit eigener Pflege — und diese Pflege wird gerade schwieriger, nicht leichter. Eine Website mit zwölf Erweiterungen hängt von zwölf Teams ab. Mit fünf hängt sie von fünf ab. Nichts senkt das Risiko so zuverlässig wie das Weglassen.
Bei der Auswahl auf die Pflege sehen, nicht auf die Funktionsliste. Wann kam das letzte Update? Wie viele Menschen arbeiten daran? Ein Baustein, der seit einem Jahr ruht, wird auch dann nicht repariert, wenn eine KI die Lücke findet.
Die Zeit zwischen Update und Einspielen verkürzen. Das bleibt der einzige Hebel, der ganz in Ihrer Hand liegt. Wo automatische Updates vertretbar sind, sollten sie laufen — wir haben die Abwägung dazu beschrieben. Und für die Fälle, in denen es gar kein Update gibt, gilt weiterhin, was wir Ende August aufgeschrieben haben.
Keine dieser drei Massnahmen hat mit künstlicher Intelligenz zu tun. Das ist kein Zufall: Was sich auf Ihrer Seite ändern lässt, ist die Angriffsfläche — nicht die Werkzeuge der Gegenseite.
Wenn Sie wissen wollen, wie viele Bausteine Ihre Website tatsächlich mitschleppt und welche davon niemand mehr pflegt: Wir sehen es uns an.