- info@sec4good.cz
- V Olšinách 2300/75, 100 00 Praha 10
Noch bis vor kurzem benötigten Angreifer Wochen oder sogar Monate, um Sicherheitslücken zu finden und auszunutzen. Das neue Sprachmodell schafft dies innerhalb weniger Stunden. Das bedeutet eine erhebliche Verkürzung der „Time-to-Exploit“, also der Zeitspanne zwischen dem Entstehen einer Sicherheitslücke und ihrer Ausnutzung.
Das könnte wie ein grundlegender Wandel in der Herangehensweise an die Cybersicherheit wirken. Die Situation ist jedoch etwas komplexer.
Das Unternehmen Antrophic hat sein neues Sprachmodell „Claude Mythos Preview“ vorgestellt. Dieses ist in der Lage, Sicherheitslücken in Software automatisch aufzuspüren und diese anschließend für Angriffe auszunutzen. Genau aus diesem Grund hat Antrophic beschlossen, das Modell vorerst nur einer begrenzten Anzahl von Organisationen zugänglich zu machen.
Mythos Preview ist in der Lage, selbst sehr unauffällige und jahrzehntealte Fehler in Systemen aufzudecken, die bislang als sicher galten (z. B. OpenBSD oder FreeBSD). Das Modell ist auch bei der Verkettung von Fehlern erfolgreich, was bei richtiger Kombination die Entwicklung eines Angriffs selbst aus unbedeutenden Schwachstellen ermöglicht.
Die wichtigste Neuerung ist nicht nur die Fähigkeit des Modells, solche Fehler zu finden, sondern vor allem der schnelle und automatisierte Prozess ihrer Ausnutzung. Das Modell ist deutlich leistungsfähiger als sein Vorgänger. Opus 4.6 konnte Fehler zwar identifizieren und beheben, verfügte jedoch nur über minimale Fähigkeiten, diese auszunutzen. Ein weiterer Fortschritt besteht darin, dass für die Eingabe von Befehlen zum Aufspüren von Schwachstellen und für anschließende Angriffe keine Expertenkenntnisse mehr erforderlich sind. Dadurch erweitert sich der Kreis der Personen, die Angriffe durchführen können, erheblich.
Laut Antrophic wurde das Modell nicht zu diesem Zweck entwickelt, doch diese Fähigkeiten ergaben sich als Nebeneffekt der größeren Autonomie des Modells und einer ausgefeilteren Programmierung. Angesichts der Schwere der Situation hat sich das Unternehmen im Rahmen des Projekts Glasswing mit bedeutenden Firmen wie Microsoft, Google, Apple, AWS und anderen zusammengetan. Es gewährte ihnen Zugang zu dem neuen Modell, damit sie Fehler in ihren Betriebssystemen beheben konnten, bevor Angreifer dies taten.
Einen interessanten Blick auf die gesamte Situation wirft Stanislav Fort von Aisle auf, der sich in seinem Artikel mit diesem Thema befasst. Seine Erkenntnisse relativieren die Aufregung um die Mythos Preview teilweise. Es hat sich gezeigt, dass auch kleine, kostengünstige Open-Source-Modelle eine Reihe bereits bekannter Zero-Day-Schwachstellen erkennen konnten. Interessant ist auch, dass kein Modell durchweg am erfolgreichsten war, sondern dass die Ergebnisse je nach Art der Aufgabe variierten.
Der Vorteil von Mythos Preview liegt jedoch nach wie vor in seiner Vielseitigkeit und der Fähigkeit zum kreativen Engineering, also der ausgefeilten Konzeption und Umsetzung von Exploits. Kleinere Modelle können jedoch in Teilbereichen durchaus mithalten. Daraus folgt, dass nicht ein bestimmter Modelltyp entscheidend ist, sondern die Konzeption des gesamten Systems – vom Durchsuchen des Codes über die Fehlererkennung und das Patchen bis hin zur Erstellung von Exploits.
Diese Entwicklung verändert also den Umgang mit Cybersicherheit, allerdings wohl weniger dramatisch, als es zunächst den Anschein haben mag. Die Zeit, die benötigt wird, um Schwachstellen zu identifizieren und auszunutzen, verkürzt sich erheblich. Gleichzeitig sind diese Fähigkeiten nicht nur auf große, ausgereifte Modelle beschränkt.
Diese Änderungen stellen höhere Anforderungen an die Sicherheitsprüfungen, die Unternehmen regelmäßig durchführen sollten. Die Prüfung der Infrastruktur sollte keine einmalige Angelegenheit sein, sondern ein kontinuierlicher Prozess. Ebenso wichtig ist es, kritische Fehler innerhalb kurzer Zeit zu beheben, um deren Ausnutzung zu verhindern.
Wenn Sie wissen möchten, wie widerstandsfähig Ihre Infrastruktur tatsächlich gegen Angriffe ist, sehen Sie sich doch unsere Penetrationstest-Dienstleistungen an.
