Ausgerechnet eine KI findet Zero-Days in den Editoren Vim und Emacs

Unter Hackern und Sicherheitsexperten scheiden sich seit Jahrzehnten die Geister, ob nun Vim oder Emacs der bessere Editor ist. Klar ist nun allerdings, dass beiden der zweifelhafte Ruhm zukommt, von einer KI eigenständig für unsicher erklärt zu werden.

Vim-Team reagiert schnell

Das KI-Modell Claude hat erstmals im Alleingang schwerwiegende Sicherheitslücken in weit verbreiteter Software entdeckt: Die von Anthropic entwickelte Künstliche Intelligenz identifizierte Zero-Day-Schwachstellen mit Remote-Code-Ausführung (RCE) sowohl im Texteditor Vim als auch in GNU Emacs, berichtete das Magazin CybersecurityNews.

Ausgangspunkt war ein ungewöhnlich einfacher Test: Forschende gaben dem System lediglich den Hinweis, dass beim Öffnen einer Datei eine bislang unbekannte Sicherheitslücke existieren könnte, und die Aufforderung, diese zu finden. Trotz der vagen Beschreibung gelang es der KI, in Vim Version 9.2 eine kritische Schwachstelle aufzudecken. Ein erstellter Demonstrationsangriff zeigte, dass Angreifer Schadcode ausführen können, wenn ein Nutzer lediglich eine manipulierte Markdown-Datei öffnet. Weitere Interaktionen sind nicht erforderlich.


Die Entwickler von Vim reagierten schnell: Die Lücke wurde unter einer Sicherheitskennung dokumentiert und zeitnah geschlossen. Nutzer werden dringend aufgefordert, auf die Version 9.2.0172 zu aktualisieren, um sich zu schützen.

Im Anschluss wandten sich die Forschenden augenzwinkernd dem Editor GNU Emacs zu - auch hier mit Unterstützung der KI. Wieder gelang es Claude, eine vergleichbare Schwachstelle zu identifizieren. In diesem Fall basiert der Angriff darauf, dass ein Opfer ein Archiv entpackt und eine scheinbar harmlose Textdatei öffnet, woraufhin im Hintergrund Schadcode ausgeführt wird.

Wir sind nicht schuld

Die Reaktion der Emacs-Entwickler fiel jedoch anders aus: Sie wiesen die Verantwortung zurück und machten stattdessen das Versionsverwaltungssystem Git für das Verhalten verantwortlich. Eine offizielle Fehlerbehebung steht daher bislang aus, was Nutzer in eine unsichere Lage bringt.

Sicherheitsfachleute vergleichen die Leichtigkeit, mit der die KI diese Schwachstellen fand, mit der Frühzeit der SQL-Injection-Angriffe in den 2000er-Jahren. Damals konnten ebenfalls einfache Eingaben gravierende Sicherheitsprobleme verursachen.

Vor diesem Hintergrund kündigten die beteiligten Forschenden die Initiative "Month of AI-Discovered Bugs" an. Bis Ende April 2026 sollen dabei weitere, ausschließlich durch KI entdeckte Sicherheitslücken veröffentlicht werden. Dies könnte die Art und Weise, wie Software auf Schwachstellen geprüft wird, grundlegend verändern.


Siehe auch: