Renommierter Forscher stellt Jubel über Anthropics neue KI in Frage

Der Sicherheitsforscher Marcus Hutchins hat die jüngsten Aussagen des KI-Unternehmens Anthropic zu dessen neuem Modell "Mythos" öffentlich infrage gestellt. Er bezweifelt insbesondere die Kostenangaben zur Entdeckung von Software-Sicherheitslücken.

Kostenrechnung ist unklar

Anthropic hatte Mythos zuvor als bedeutenden Fortschritt präsentiert. Das Modell sei in der Lage, Schwachstellen in Software besser zu erkennen und auszunutzen als die meisten Menschen. Intern werde die Technologie derzeit im Rahmen des Projekts "Glasswing" von ausgewählten Technologie- und Sicherheitsunternehmen getestet. Laut einer Vorschaupublikation habe die KI bereits tausende bislang unbekannte Sicherheitslücken in Betriebssystemen, Browsern und anderer weitverbreiteter Software identifiziert.

Hutchins widerspricht dieser Darstellung teilweise. Als Beispiel nennt er eine von Anthropic hervorgehobene Schwachstelle im Betriebssystem OpenBSD, die angeblich mit weniger als 20.000 Dollar an Rechenkosten entdeckt worden sei. Seiner Einschätzung nach handelt es sich dabei jedoch lediglich um eine Null-Pointer-Dereferenzierung. Das ist ein Fehler, der in der Regel nur Abstürze verursacht, aber keine vollständige Systemübernahme ermöglicht. Der praktische Nutzen solcher Entdeckungen sei daher begrenzt.


Auch die Kostenangaben stellt Hutchins infrage. Es sei unklar, wie die genannte Summe berechnet wurde. Vermutlich spiegelten die Zahlen eher API-Preise wider als die tatsächlichen Infrastrukturkosten. Zudem könnten aktuelle KI-Preismodelle durch Investitionen von Risikokapitalgebern verzerrt sein. Die realen Kosten könnten daher deutlich höher liegen.

Nichts grundlegend Neues

Grundsätzlich sieht Hutchins im Aufkommen neuer KI-Modelle keinen Wendepunkt für die IT-Sicherheit. Das Hauptproblem bei der Suche nach Sicherheitslücken sei nicht technischer Natur, sondern wirtschaftlicher: "Fehler bleiben nicht unentdeckt, weil sie niemand finden kann, sondern weil niemand dafür bezahlt wird", so der Experte. Auch künftig müsse jemand für die Überprüfung von Software aufkommen, unabhängig davon, ob dies Menschen oder Maschinen übernehmen.

Zudem betont Hutchins, dass Angreifer häufig gar nicht auf komplexe Softwarelücken angewiesen seien. Methoden wie Phishing oder Social Engineering hätten sich seit Jahren bewährt. Hutchins, der 2017 durch seine Rolle beim Stoppen der WannaCry-Ransomware bekannt wurde, gilt bereits länger als kritische Stimme gegenüber überzogenen KI-Versprechen in der Sicherheitsbranche.


Siehe auch: