Aaron Portnoy, Chief Product Officer bei Mindgard und Mitbegründer des Hacking-Wettbewerbs Pwn2Own, bringt die Entwicklung gegenüber Dark Reading auf eine Formel: Schwachstellen verlören ihre Verstecke. „Softwarehersteller konnten sehr lange fehlerhafte Software ausliefern, ohne dafür wirklich zur Rechenschaft gezogen zu werden, aber jetzt können sie sich nicht mehr verstecken, weil KI nicht schläft und Schwachstellen in großem Maßstab findet", sagt er.
Das Finden wird billiger und schneller — nützlich ist es aber nur, wenn Organisationen anschließend auch handeln können. Genau dort klemmt es. Manche Fachleute erwarten, dass sich die unabhängige Sicherheitsforschung ökonomisch neu ordnet und künftig eher über Masse als über Schweregrad funktioniert.
Katie Moussouris, CEO und Gründerin von Luta Security und eine Wegbereiterin der Schwachstellenforschung, sieht in der Entwicklung vor allem eine schonungslose Diagnose: „Das Bug-Bounty-Ökosystem leidet schon lange, und die KI hat nur darauf hingewiesen, dass der Kaiser keine Kleider anhat." Die gestiegene Fundgeschwindigkeit sei eine Abrechnung mit Herstellern, die immer wieder dieselben Fehler machten und unsichere Software veröffentlichten. Bug-Bounty-Plattformen, argumentiert sie, sollten für jene Fehler da sein, die ein Hersteller übersehen habe — nicht die primäre Methode der Fehlersuche sein.
Dass die Unternehmen mit dem Andrang kämpfen, zeigt sich auch an den Programmen selbst. Moussouris beobachtet, dass selbst gut ausgestattete Sicherheitsorganisationen ihre Bug-Bounty-Programme zurückfahren: „Sie ziehen mehr Schranken ein, nach dem Motto: Du musst so und so viele Schwachstellen einreichen, bevor du in unsere oberste Auszahlungsstufe eingeladen wirst … Sie versuchen mit all solchen Mitteln, das Tempo dessen, was bei ihnen ankommt, künstlich zu bremsen."
Eine zweite Engstelle liegt bei der Offenlegung. Casey Ellis, Präsident und Mitgründer von Disclose.io und zuvor Gründer von Bugcrowd, hält der Sicherheitsbranche vor, sie habe jahrelang daran gearbeitet, das Finden von Schwachstellen zu erleichtern — nicht aber das Melden. Die große Mehrheit der Forschenden wolle Fehler über ethische Kanäle offenlegen, doch die Flut an Funden und die Behebungsprobleme machten diesen Weg noch beschwerlicher.
„Ich spreche mit vielen Leuten, die KI-gestützt forschen, und die sitzen auf einem Berg von Bugs, einfach weil es zu schwer ist, sie an die richtige Stelle zu bringen. Das ist nicht böswillig, die haben keinerlei schlechte Absichten", sagt Ellis. Sie wüssten, dass ein Veröffentlichen im Internet Risiken für Nutzer schaffe und wollten das nicht — bleibe der Hersteller aber untätig, stelle sich die Frage, was man sonst tun solle.
Ellis’ Sorge: Die KI beschleunigt die Entdeckung schneller, als die Strukturen rund um die Offenlegung reifen. Neu sind die Probleme nicht. Manche weniger technikaffine Organisationen deuteten ethische Sicherheitsforschung bislang als kriminelle Aktivität. „Wenn du Leute hast, die das in gutem Glauben tun wollen, und du gibst ihnen das Gefühl, Kriminelle zu sein, dann ist das dumm", so Ellis.
Bugcrowd-CEO Dave Gerry hält die Branche beim Beheben der Fehler für unvorbereitet: „Ich mache das seit 2012. Wir waren damals nicht darauf vorbereitet. Wir haben damals auch nicht alles behoben, was gefunden wurde. Wir sind es immer noch nicht."