Neue KI-Modelle finden Sicherheitslücken schneller | Was das für einen normalen Betrieb bedeutet

Mehr gefundene Lücken → mehr Meldungen → Engpass wandert zum Patchen → dort entscheidet es sich

Anfang Juli hat OpenAI eine neue Modellreihe veröffentlicht, und ein Teil davon ist für jeden interessant, der Systeme betreibt. Die Modelle sind deutlich besser darin geworden, Sicherheitslücken zu finden und aus ihnen funktionierende Angriffe zu bauen.

Das klingt nach einer Schlagzeile, und es wird auch als solche verkauft. Die praktisch wichtige Frage ist eine andere. Sie lautet nicht, ob KI jetzt hacken kann, sondern was sich dadurch für jemanden ändert, der ein paar Server und ein paar Dutzend Rechner betreut.

Was tatsächlich veröffentlicht wurde

Die Reihe besteht aus drei Stufen. Ein Spitzenmodell, ein ausgewogenes für die tägliche Arbeit und ein günstiges. Die Ziffer steht für die Generation, die Namen für die Leistungsstufe, und diese Stufen sollen sich künftig unabhängig voneinander weiterentwickeln.

Abgerechnet wird nach verarbeiteter Textmenge, und die Spanne zwischen der teuersten und der günstigsten Stufe liegt beim Fünffachen. Ende Juli hat OpenAI die Preise der beiden kleineren Stufen deutlich gesenkt, die günstigste um achtzig Prozent. Das ist kein Detail, sondern der eigentliche Trend. Nicht die Spitzenleistung wird billiger, sondern die brauchbare Leistung darunter, und das entscheidet darüber, wer sich so etwas leisten kann.

Der Sprung bei den Sicherheitsfähigkeiten

Hier sind die Zahlen ungewöhnlich deutlich. Bei einem Test, der misst, wie weit ein Modell von einer bekannten Schwachstelle bis zur Ausführung von eigenem Code kommt, springt das Ergebnis von knapp der Hälfte auf fast drei Viertel. Bei einem zweiten Test, der aus echten Schwachstellen funktionierende Angriffe bauen lässt, verdoppelt sich die Erfolgsquote gegenüber der Vorgängerversion. Bekommt das Modell statt zwei Stunden sechs, steigt sie noch einmal deutlich.

Das Letzte ist der Punkt, an dem ich hängen geblieben bin. Mehr Zeit bringt mehr Ergebnis. Ein Angreifer, der es nicht eilig hat, bekommt für Geduld einen Aufschlag, und Geduld kostet bei einer Maschine fast nichts.

Wie OpenAI das selbst einordnet

Nach dem eigenen Risikoraster stuft OpenAI die Modelle im Bereich Cybersicherheit als hoch ein, aber ausdrücklich nicht als kritisch. Die Begründung ist bemerkenswert konkret.

Nach den eigenen Tests sind die Modelle besser darin, Schwachstellen zu finden und zu beheben, als darin, verlässlich vollständige Angriffe gegen gehärtete Ziele durchzuführen. Einzelne Bausteine bekommen sie hin, die ganze Kette gegen ein ordentlich abgesichertes System nicht.

Wer das beruhigend findet, sollte den zweiten Teil mitlesen. Gehärtet heißt gehärtet. Ein System, das seit drei Jahren keine Aktualisierung gesehen hat, ist nicht das, was in diesen Tests stand.

Der Punkt, der für einen Betrieb wirklich zählt

OpenAI schreibt an anderer Stelle einen Satz, der mehr wert ist als alle Testergebnisse zusammen. Sinngemäß steht dort, dass sich der Engpass in der Sicherheit verlagert. KI kann inzwischen in großen Codebeständen mehr Probleme aufdecken, aber Berichte allein machen kein System sicher. Was zählt, sind geprüfte Befunde, getestete Korrekturen, geordnete Offenlegung und Nachbesserungen, die tatsächlich eingespielt werden.

Damit ist das Eigentliche gesagt. Die Zahl der gefundenen Lücken wird steigen, und zwar auf beiden Seiten. Was nicht automatisch mitwächst, ist die Fähigkeit eines Betriebs, sie zu schließen.

Wenn Sie heute drei Wochen brauchen, um eine bekannte Lücke zu schließen, waren diese drei Wochen bisher meistens ausreichend, weil es eine Weile dauerte, bis jemand einen funktionierenden Angriff gebaut hatte. Genau diese Zeitspanne wird kürzer. Ihre drei Wochen bleiben drei Wochen.

Warum zu viel Blockieren auch keine Lösung ist

Ein Gedanke aus der Veröffentlichung, den ich für redlich halte und der selten so klar ausgesprochen wird.

Dieselbe Fähigkeit, mit der jemand eine Lücke ausnutzen könnte, hilft einem Verteidiger dabei, sie zu finden, nachzustellen und eine verlässliche Korrektur zu bauen. Wer aus Vorsicht alles sperrt, nimmt den Verteidigern ihr Werkzeug, während die andere Seite auf andere Modelle ausweicht, darunter zunehmend leistungsfähige frei verfügbare.

Übermäßiges Blockieren ist also selbst ein Sicherheitsrisiko. Das ist ein unbequemer Satz für einen Anbieter, und er stimmt.

Praktisch gelöst wird es über abgestufte Zugänge. Wer nachweisbar in der Verteidigung arbeitet, bekommt mehr Möglichkeiten als jemand, der einfach ein Konto anlegt. Dazu gehören Identitätsprüfung, Überwachung, Nutzungsauflagen und rechtsverbindliche Zusicherungen.

Eine Frist, die konkret ist

Wer diesen erweiterten Zugang für Sicherheitsarbeit nutzt, muss bis zum 1. September die erweiterte Kontosicherheit mit hardwaregestützten Schlüsseln einschalten. Wer das nicht tut, fällt auf den normalen Zugang zurück.

Das betrifft die wenigsten Leser direkt. Es lohnt sich trotzdem als Beobachtung: Der Anbieter macht einen Hardwareschlüssel zur Bedingung für die heikelsten Funktionen. Wer selbst überlegt hat, ob sich so etwas lohnt, hat hier ein Argument.

Was ich daraus für die eigene Umgebung ableite

1. Die Zeit bis zum Einspielen einer Korrektur ist die wichtigste Kennzahl. Nicht wie viele Werkzeuge Sie einsetzen, sondern wie lange es dauert, bis eine bekannte Lücke bei Ihnen geschlossen ist. Messen Sie das einmal ehrlich an einem echten Fall.
2. Wissen, was überhaupt läuft. Man kann nur aktualisieren, was man kennt. Eine vollständige Liste der Systeme klingt langweilig und ist die Grundlage für alles Weitere.
3. Unauffälligkeit ist kein Schutz mehr. Der Gedanke, ein kleiner Betrieb sei uninteressant, trug schon bisher nur begrenzt. Er trägt weniger, wenn das Suchen nach Zielen fast nichts mehr kostet.
4. Die Grundlagen zuerst. Aktuelle Systeme, getrennte Netze, zweiter Faktor, geprüfte Sicherungen. Nichts davon ist neu, und nichts davon wird durch bessere Angriffswerkzeuge unwichtiger.
5. Keine Panikkäufe. Es wird jetzt viel angeboten, das die Sorge bedient. Ein Werkzeug, das Befunde ausspuckt, die niemand abarbeitet, verschlimmert die Lage, statt sie zu bessern.

Was ich bei diesen Zahlen im Kopf behalte

Alle genannten Ergebnisse stammen aus der Veröffentlichung von OpenAI und wurden von OpenAI erhoben. Das macht sie nicht falsch, aber es sind Herstellerangaben, einschließlich der Vergleiche mit Konkurrenzmodellen.

Auch die Einstufung als hoch und nicht kritisch nimmt der Anbieter selbst vor, nach einem selbst aufgestellten Raster. Das ist derzeit üblich und trotzdem eine Besonderheit, die man mitdenken sollte. In kaum einer anderen Branche prüft der Hersteller die Gefährlichkeit seines Produkts nach eigenen Maßstäben und veröffentlicht das Ergebnis selbst.

Was sich unabhängig davon beobachten lässt, ist die Richtung. Und die ist eindeutig.

Selbstprüfung

1. Warum macht eine höhere Zahl gefundener Schwachstellen ein System nicht automatisch sicherer?
2. Welche Kennzahl im eigenen Betrieb entscheidet darüber, ob dieser Sprung für Sie gefährlich wird?
3. Warum ist zu striktes Blockieren nach Darstellung des Anbieters selbst ein Sicherheitsrisiko?
4. Welche Einschränkung gilt für die genannten Testergebnisse?