KI-gestützte Fehlersuche dürfte Open Source mit neuen Schwachstellenmeldungen überschwemmen

Sicherheitsteams könnten einen schwierigen Sommer vor sich haben, da fortschrittliche KI-Systeme eine wachsende Zahl bislang unentdeckter Schwachstellen in weit verbreiteter Open-Source-Software aufdecken, so Chainguard-CEO Dan Lorenc.

Lorenc erklärte, neue Frontier-Modelle würden Schwachstellen in einem Tempo finden, das die Abläufe bei Offenlegung und Behebung in der Branche verändert. Seine Äußerungen erfolgten, als Chainguard Athena mit ins Leben rief – eine Koalition aus rund zwei Dutzend Unternehmen, die sich darauf konzentriert, mithilfe von KI Sicherheitsprobleme in Open-Source-Software schneller zu erkennen und zu beheben.

Zu den Gründungsmitgliedern von Athena gehören Unternehmen wie BNY, Cisco, Cloudflare, Docker, JPMorganChase, Kyndryl und PwC. Mehrere Mitglieder beteiligen sich außerdem an Project Glasswing von Anthropic und Daybreak von OpenAI, die Zugriff auf fortschrittliche Modelle zur Fehlersuche bieten. Laut Lorenc akzeptiert Athena Ergebnisse jedes Frontier-Modells und hat bereits mehr als 20.000 Meldungen verarbeitet sowie über 2.000 Patches für 500 Projekte erstellt.

Berichte im großen Maßstab schaffen neue Koordinationsprobleme

Lorenc zufolge besteht die Herausforderung nicht mehr nur darin, Fehler zu finden, sondern auch darin, die schiere Menge der Entdeckungen zu bewältigen. Viele Organisationen können ihren eigenen Code patchen, wenn KI Schwachstellen in proprietärer Software aufdeckt. Schwieriger wird es, wenn dieselben Tools Probleme in Bibliotheken von Drittanbietern identifizieren, die nicht direkt unter der Kontrolle der Teams stehen.

Er wies darauf hin, dass moderne Anwendungen häufig stark auf Open-Source-Komponenten angewiesen sind. Dadurch kann ein einziger Scan Tausende von Problemen in zahlreichen Projekten aufdecken. Das kann Sicherheitsteams mit langen Warteschlangen von Meldungen, unklaren Zuständigkeiten und der Unsicherheit zurücklassen, welche Maintainer noch aktiv sind.

• KI-Tools finden sowohl in proprietärem als auch in Open-Source-Code mehr Probleme.
• Offenlegungen im Open-Source-Bereich können Maintainer überfordern, wenn Meldungen in großen Mengen eingehen.
• Die Zeit zwischen der öffentlichen Offenlegung und der Ausnutzung in der Praxis wird immer kürzer.

Um diesen Zustrom zu bewältigen, fungiert Athena als Clearingstelle: Die Koalition entfernt Duplikate aus den Meldungen, bündelt zusammengehörige Ergebnisse und arbeitet an umfassenderen Korrekturen für anfällige Codebasen. Betroffene Projekte werden vor der öffentlichen Offenlegung als gehärtete private Versionen für Mitglieder neu erstellt; anschließend werden die Upstream-Projekte benachrichtigt. Falls Maintainer nicht reagieren können, kann die Koalition nach eigenen Angaben als Reparaturinstanz letzter Wahl einspringen.

Die Linux Foundation hat sich der Initiative ebenfalls mit Akrites angeschlossen, einer separaten Koalition, die die Reaktion auf Schwachstellen über ein gemeinsames Incident-Response-Team und einen standardisierten Offenlegungsprozess koordinieren wird. Unterstützer erklären, Ziel sei es, die Fragmentierung zu verringern und Maintainer dabei zu unterstützen, KI-gestützte Ergebnisse zu bewältigen, bevor Angreifer sie ausnutzen können.