Nach 3 Stunden und 49 Minuten war es erledigt. So viel Zeit benötigte laut den Aufzeichnungen der KI-Agent „Cipher“ des Sicherheits-Start-ups Causal Security, um sämtliche Schwachstellen in einer Software zu finden, die Stromnetze und Teilchenbeschleuniger steuert. Die US-Behörde für Cyber- und Infrastruktursicherheit (CISA) warnte vor dem Risiko einer Remote-Codeausführung in dieser Software, und die Version 7.0.11 mit dem Patch wurde am selben Tag wie die Warnung veröffentlicht.
Bei einem Start um 9 Uhr morgens wäre die Arbeit um 12.49 Uhr beendet. Ein KI-Agent ist ein Programm, das nach Vorgabe eines Ziels mehrere Arbeitsschritte selbstständig aneinanderreiht, und Remote-Codeausführung bezeichnet einen Fehler, durch den ein entfernter Angreifer eigene Befehle auf einem fremden System ausführen kann. Wenn die Suche in weniger als einem halben Tag abgeschlossen ist, kann die Liste der Fehler schneller wachsen, als Menschen sie prüfen können.
Bis geklärt ist, wann die Uhr gestartet und gestoppt wurde und wie viel Menschen dazu beigetragen haben, sind die 3 Stunden und 49 Minuten als Richtwert zu lesen.
Am 2. November wurde über einen Zero-Day-Vorfall bei der Webentwicklungssprache PHP berichtet. Als Zero-Day wird eine Schwachstelle bezeichnet, die bekannt wird, bevor ein Patch zu ihrer Behebung vorliegt, und die Verteidiger müssen ohne herunterladbare Korrektur durchhalten. Für eine Verbindung mit der Stromnetz-Warnung als ein und derselbe Vorfall gibt es keine Grundlage.
Auch automatisierte Einbruchsangriffe mithilfe von KI-Agenten wurden als Beispiel für KI-bedingte Sicherheitsthemen gemeldet. In diesen Fällen setzten sowohl die Seite, die Schwachstellen sucht, als auch die Seite, die in Systeme eindringt, KI-Agenten ein.
Das im Fall Cipher sichtbare Ergebnis reicht bis zum Finden. Auch wenn ein Patch wie 7.0.11 erscheint, sinkt das Risiko erst, wenn er dort installiert ist, wo die Software tatsächlich genutzt wird. Wird nur das Entdecken schneller, treten die menschliche Freigabe und das Verteilungsverfahren zwangsläufig als langsamster Abschnitt hervor.
Auch die Aufsicht ist eine Aufgabe. Am 1. November wurde berichtet, dass im Sicherheitsnetz des US-Verteidigungsministeriums (Pentagon) zwei Monate lang ein „persönlicher KI-Agent“ gelaufen sei, und ob er genehmigt war oder es zu einer Sicherheitsverletzung kam, ist nicht geklärt. Wenn es ein Werkzeug gibt, das eine Arbeit von 3 Stunden und 49 Minuten bewältigt, sind zwei Monate eine sehr lange Zeit.
Am selben Tag wurde auch berichtet, dass die Finanzbehörden eine Strategie zur Abwehr von Hackerangriffen gegen die Bedrohung durch KI-Agenten ausarbeiten. Sobald die Strategie veröffentlicht ist, lässt sich prüfen, ob sie festlegt, wie die Zeit von der Entdeckung eines Fehlers bis zum Einspielen des Patches verkürzt werden soll und wie im Finanzsektor laufende Agenten beaufsichtigt werden sollen.
Auch der Arbeitstag der Sicherheitsverantwortlichen kann sich verändern. Wer um 9 Uhr morgens zur Arbeit kommt und den Agenten startet, sieht gegen Mittag die Fehlerliste auf dem Monitor, und der Nachmittag ist damit ausgefüllt, auszuwählen und freizugeben, welcher Fehler am dringendsten zu beheben ist. Je mehr die Fehlersuche Maschinen übernehmen, desto mehr menschliche Arbeitszeit fließt in Korrektur und Freigabe.
