Die „Vulnocalypse“ ist da. Bezahlte, unterbezahlte und unbezahlte Software-Maintainer ächzen unter der Last KI-induzierter Fehler- und Exploit-Meldungen, und die Sprachmodelle schicken sich an, auch weitergehende Angriffe zu automatisieren. Das betrifft zwar proprietäre Software ebenso wie Open-Source-Produkte, aber bei ersteren gibt es zumeist eine kommerzielle Entität, die für ihre Software verantwortlich ist und von Kunden für Fehlerbehebungen bezahlt wird.

Wer dagegen all die Open-Source-Software sichern soll und kann, ist weniger offensichtlich. Die gute Nachricht lautet: Das Problem ist erkannt und diverse Projekte und Organisationen treten an, um bei der Lösung zu helfen. Sogar Geld steht zur Verfügung; zum einen, weil KI-Firmen, durch deren Produkte das Problem entsteht, sich ihrer Verantwortung stellen wollen – oder zumindest diesen Anschein erwecken möchten. Jedenfalls sind sie höchst liquide und willens, Projekte zur Sicherung von Open Source zu finanzieren.

Zum anderen wird vielen Unternehmen gerade sehr schmerzhaft bewusst, auf welch umfangreichem Open-Source-Fundament ihre Produkte stehen. Beispielsweise rechnet IBM vor, dass sich über 90 Prozent der US-amerikanischen Fortune-500-Unternehmen auf Open-Source-Software verlassen. Alleine Anthropics „Mythos Preview“, ein Modell, das zumindest in der öffentlichen Wahrnehmung einen Wendepunkt in der Security-mit-KI-Debatte darstellt, habe fast 4000 schwerwiegende Sicherheitslücken in Open-Source-Software gefunden, schreibt IBM.

Das war die Leseprobe unseres heise-Plus-Artikels "KI und Security: Projekte wider die Vulnocalypse". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.