cURL-Chef: Mythos-KI ist eher Marketing als ein großer Durchbruch

Anthropics KI-Modell Mythos wird seit einiger Zeit für seine angeblich überragenden Fähigkeiten beim Finden von Sicherheitslücken gefeiert. Ein bekannter Open-Source-Entwickler empfindet das nach Tests aber als übertriebenes Marketing.

Keine großen Erkenntnisse

Die Mythos-KI wurde jetzt auch darauf angesetzt, Schwachstellen in dem weit verbreiteten Kommandozeilen-Client cURL ausfindig zu machen. Doch der Versuch hat laut Projektgründer Daniel Stenberg deutlich weniger beachtliche Ergebnisse geliefert als erwartet. Eigentlich sollte er selbst Zugang zum Modell erhalten. Tatsächlich habe jedoch eine andere, zugangsberechtigte Person den Scan durchgeführt und ihm anschließend die Ergebnisse übermittelt.

Diese fielen aus Sicht des Entwicklers ernüchternd aus: Zwar identifizierte Mythos zunächst fünf potenzielle Sicherheitsprobleme im aktuellen Entwicklungsstand cURLs, doch nach intensiver Prüfung durch das Sicherheitsteam blieb am Ende nur eine einzige echte Schwachstelle übrig. Diese werde als niedrig eingestufte Sicherheitslücke in die kommende Version 8.21.0 einfließen, die Ende Juni erscheinen soll. Gefahr gehe von ihr jedoch kaum aus, so Stenberg.


Die übrigen vier Funde entpuppten sich entweder als Fehlalarme oder als bereits bekannte Verhaltensweisen, die in der Dokumentation korrekt beschrieben sind. Ein weiterer Punkt wurde lediglich als gewöhnlicher Software-Bug eingestuft. Positiv hob Stenberg jedoch hervor, dass Mythos auch mehrere kleinere, nicht sicherheitsrelevante Fehler gefunden habe, deren Qualität durchaus brauchbar gewesen sei.

Trotzdem zieht der cURL-Entwickler ein klares Fazit: Die große Aufmerksamkeit rund um Mythos sei vor allem "Marketing". Einen echten technologischen Durchbruch bei der automatisierten Entdeckung neuartiger Sicherheitslücken sehe er nicht. Auch wenn KI-gestützte Analysewerkzeuge grundsätzlich hilfreich seien, lieferten sie bislang vor allem bekannte Fehlerklassen in neuen Varianten.

KI ist durchaus hilfreich

cURL selbst gilt als eines der am längsten und intensivsten geprüften Open-Source-Projekte. In den vergangenen Monaten hatten bereits verschiedene KI-basierte Tools wie OpenAI Codex Security oder andere Analyseplattformen hunderte Hinweise geliefert, aus denen zahlreiche Bugfixes und mehrere Sicherheitsmeldungen entstanden.

Stenberg betont zwar, dass KI-Tools die Sicherheitsanalyse deutlich verbessert hätten, sieht aber keine Hinweise darauf, dass Systeme wie Mythos über das hinausgehen, was erfahrene menschliche Entwickler bereits leisten können. Innovation im Bereich Software-Sicherheit bleibe damit weiterhin vor allem eine menschliche Aufgabe - KI könne lediglich unterstützen, aber keine völlig neuen Arten von Schwachstellen "erfinden".


Siehe auch: