# AI-Driven Cybersecurity: Patch Cycles, Asymmetry, and Enterprise Defense

**Podcast:** KI-Update – ein heise-Podcast
**Published:** 2026-05-29

## Transcript

Das KI-Update – ein heiser Podcast mit redaktioneller Unterstützung von The Decoder.
Hallo, ich bin Isabel Grünewald und dies ist unser Deep Dive zum Wochenende.
In den vergangenen Wochen schlug Anthropics Mythos hohe Wellen in der Flut aus KI-Nachrichten.
Dieses KI-Modell soll so mächtig sein, dass es Sicherheitslücken in Software nicht nur finden, sondern direkt auch ausnutzen kann.
Dabei warnen SicherheitsexpertInnen nicht erst seit Mythos vor einer verschärften Bedrohungslage durch KI.
Darum habe ich vergangene Woche mit meinem Kollegen Dr.
Christopher Kunz von Heise Security gesprochen.
Ich wollte wissen, was sich durch KI konkret verändert hat und wie sich Unternehmen besser auf Angriffe mithilfe von künstlicher Intelligenz vorbereiten können.
Hallo Christopher.
Ja, hi, guten Morgen.
Vielleicht einmal, um so eine Baseline aufzubauen.
Welche Angriffsmethoden haben sich denn durch KI wie verändert?
Ja, ich tue mich ein bisschen schwer.
Die Frage ist vielleicht eher, welche haben sich nicht verändert?
Also KI verändert schon bei IT-Security ziemlich viel.
Manches eher.
Also da werden Sachen einfach noch ausgefeilter und raffinierter.
Manche ist schon sehr nah an revolutionär, wenn sich einfach grundlegende Abläufe jetzt ändern müssen.
Und so Angriffe, die wir sehr viel immer noch sehen und die jeder sicherlich aus der eigenen Inbox kennt, sind diese Phishing-Angriffe oder diese Phishing-Nachrichten.
Ihr Paket kann wegen bezahlter Zollgebühren nicht zugestellt werden oder irgendwie, sie müssen ihr Microsoft-Konto aktualisieren.
Die werden durch KI auch für Akteure, die die jeweiligen Sprachen nicht sprechen und die die jeweiligen Ziele nicht kennen, viel einfacher realistisch zu bauen.
Also da kann man dann sehr genau und sehr gut aussehende Phishing-Mails bauen und auch welche, die zum Beispiel die Sprache einer bekannten Person sehr gut nachahmen.
Und das wird alles so Stück für Stück besser.
Ich glaube aber gar nicht, dass es dadurch...
viel, viel effektiver wird.
Denn man kriegt zwar vielleicht ein paar schlaue Leute dabei, aber bei Phishing-Nachrichten ist auch immer so ein bisschen die Idee dahinter, auch bei diesen Betrugsnachrichten, wo es um irgendwelche Überweisungen geht, dass man seine Zielgruppe ein bisschen aussucht.
Dass man die Leute, die vielleicht dazu tendieren, ein bisschen leichtgläubiger zu sein, schon in den Phishing-Nachrichten so ein bisschen vorsortiert.
Also das ist eher so evolutionär.
Aber technische Sicherheitslücken, da wird es richtig spannend.
Da passiert unheimlich viel im Moment.
Und da sind wir ja direkt schon bei Mythos.
Davon habe ich in der Anmoderation schon gesprochen.
Mozilla sagt, sie haben 271 Sicherheitslücken in Firefox damit schließen können.
Das klingt für den Laien wie eine irrsinnige Zahl.
Also man denkt sich so als jemand, der selbst keine Software entwickelt.
Wie kann denn überhaupt eine Software auf die Menschheit losgelassen werden, in der 271 Sicherheitslücken sind?
Und das sind ja auch nicht die ersten, die da jemals drin gefunden wurden.
Wie läuft das eigentlich ab?
Ja, also das muss man so ein kleines bisschen einordnen.
Ich habe am Freitag mit jemandem aus dem Mozilla Security Team gesprochen.
Ich war auf der Point to Own einer Security Veranstaltung in Berlin und die haben erst mal mit Mythos nicht die Sicherheitslücken behoben, sondern das haben sie schön noch von Hand gemacht.
Natürlich schon teilweise KI assistiert, aber es ist nicht so, dass die KI die Sicherheitslücken findet und dann auch gleich alle super fix.
Das ist schon noch zu großen Teilen Handarbeit und auch Teil des Problems dadurch.
Und Firefox ist einfach eine Riesensoftware.
Firefox alleine hat 20 Millionen Zeilen Code und ist eine Software, die sich unheimlich viel verändert, aber gleichzeitig unheimlich viel alte Sachen mitschleppen muss.
Also das Firefox-Team verspricht, dass wenn du 1995 eine Webseite gebaut hast, dass du die in einem aktuellen Firefox immer noch anschauen kannst, obwohl sich das Web...
vier, fünf, sechs, sieben Mal seitdem komplett verändert hat.
Und trotzdem will Firefox diese alten Sachen immer noch mit anzeigen.
Das ist Teil des Versprechens.
Und dann hast du viel Code, viel Programmteile, die lange schlummern und die vielleicht lange niemand sich genau angeschaut hat.
Und wenn du dann eine KI, die nicht unterscheidet zwischen den Sachen, die häufig genutzt und häufig verändert werden und denen, die selten genutzt und selten verändert werden, auf sowas loslässt.
dann findet die erstmal einen ganzen Stapel Sicherheitslücken.
Und das kennen wir von praktisch jeder anderen Software auch.
Jetzt ist das ja so, also wir sehen das ja schon länger, dass KI in der Entwicklung benutzt wird und eben Probleme findet oder Fehler im Code.
Warum ist Mythos jetzt nochmal besser da drin?
Also warum das so ist, weiß ich ehrlich gesagt nicht so genau.
Das scheint so zu sein, dass er einfach...
besser darauf trainiert ist, Sicherheitslücken zu finden und auch die sehr nachvollziehbar und mit sehr wenigen falsch oder viel weniger falsch positiven.
Aber Mythos ist auch keine Wundermaschine, die jetzt in einer jeden Software Sicherheitslücken finden kann.
Das haben wir in einem Gegenbeispiel in den vergangenen Tagen auch gesehen, und zwar bei der total unbekannten Software Curl.
Unbekannt, vor allem für Leute, die eben nicht mit Software und mit IT-Sicherheit zu tun haben.
Das ist eine Bibliothek, die praktisch in jedem Gerät, das in irgendeiner Weise mit dem Internet interagiert, enthalten ist.
Die sorgt nämlich dafür, dass diese Geräte Internetseiten abrufen können.
Also zum Beispiel, wenn mein Router automatisiert jede Nacht überprüft, ob ein Update vorhanden ist und er ein Update installieren muss, dann prüft er.
mit dieser Bibliothek Curl, ob die Update-URL vom Routerhersteller ein neues Update für ihn hat.
Und Milliarden Geräte weltweit nutzen dieses Curl.
Das ist also eine unheimlich wichtige Software, wo sie so vergleichsweise unbekannt ist.
Und die Entwickler von Curl, das ist Open Source, die haben auch Zugang zu Mythos gekriegt.
Und Mythos hat eine Sicherheitslücke gefunden.
Das ist einmal komplett durch den Code von Curl gepflügt und hat da eine Sicherheitslücke gefunden, Mythos ist nicht unheimlich gut darin, neuartige Sachen zu entdecken.
Das ist ja ein LLM nie.
LLMs bilden ja im Wesentlichen Durchschnitte und können jetzt keine Innovation in dem Sinne erzeugen, als dass sie sich komplett neue Arten von Sicherheitslücken ausdenken und die dann abtesten, sondern die gucken eben schon nach vorhandenen Sachen, nach den Sachen, die in ihren Trainingsdaten sind, variieren das ein bisschen und Mythos ist sehr gut darin, die Variation eben so auszudehnen, dass Sicherheitslücken gefunden werden, wenige falsch positive.
Aber es ist jetzt nicht so, dass Mythos jetzt im Schnelldurchlauf IT-Sicherheit durchspielt.
Ich glaube, das ist es nicht.
Das heißt, es sind am Ende auch immer noch Menschen gefragt, die da drüber gucken.
Ich glaube, der Betreiber von Curl meinte ja auch, das ist ein Hilfsmittel.
Aber am Ende müssen die Menschen entscheiden, weil Mythos da auch irgendwie falsch positive gefunden hat oder sowas.
Ja, also auch Mythos findet immer noch falsch Positive und bei Curl ist die Spezialsituation die, dass jede einzelne Zeile Code, also alles an diesen 200.000 Zeilen Programmquellcode, die Curl ungefähr hat oder 600.000, ich verwechsel das immer, ist ungefähr viermal geschrieben, neu geschrieben, überprüft worden und da gibt es eine Statistik auch vom Hauptentwickler von Curl und das ist ein unheimlich gut dokumentierter, gut überprüfter Deswegen kann Mythos da nicht mehr viel finden und neigt natürlich dann auch dazu, vielleicht noch ein bisschen was herbeizuhalluzinieren.
Und da muss immer noch ein Mensch drüber gucken.
Und das ist auch das Thema bei Firefox gewesen, auch bei Firefox.
Also diesen massenhaften Sicherheitslücken, die da gefunden wurden, muss immer noch ein Mensch drüber schauen und schauen, ob das wirklich eine Sicherheitslücke ist oder ob das einfach nur ein, in Anführungszeichen, gewöhnlicher Programmfehler ist, ob das ausnutzbar ist, um also wirklich auch einen Angriff darauf zu starten und das Ganze dann beheben.
Und diese Asymmetrie zwischen viele Sicherheitslücken werden gefunden, massenhaft, und wir müssen das immer noch händisch alles angucken, ist momentan für viele Softwareentwickler, gerade im Open-Source-Bereich, ein Riesenproblem.
Das kann ich mir gut vorstellen.
Jetzt ist ja auch das Problem, weswegen Mythos, glaube ich, solche Wellen geschlagen hat, dass Anthropic gesagt hat, das ist so mächtig, das nutzt auch aktiv, also das entwickelt quasi die Angriffsszenarien für diese Sicherheitslücken, die es findet und deswegen darf es nicht auf die Öffentlichkeit losgelassen werden.
Und das hat Regierungen auf der ganzen Welt nervös gemacht.
Was ist da dran?
Ist das mehr Hype oder ist das eine Realität, die wir schon beobachten können?
Also Angriffsszenarien müssen wir ein bisschen kontextualisieren.
In diesem Fall sind zum Beispiel bei Software-Sicherheitslücken in der Regel die sogenannten Exploits gemeint, also die Ausnutzung dieser Sicherheitslücken in einem Programm, um beispielsweise Daten auszulesen, die man nicht auslesen dürfte oder Programmcode auszuführen, der nicht vorgesehen war.
Und diese Exploits zu bauen ist eine schwierige, aber doch...
erstmal eine lösbare Programmieraufgabe.
Da gibt es Spezialisten und die waren letzte Woche am Freitag auch auf der Pound to Own, auf der ich war, die den ganzen Tag nichts machen, als diese Sicherheitslücken zu suchen und daraus dann Exploits zu bauen und diese Exploits dann entweder an die Hersteller der Software zu melden und dann gegebenenfalls eine Belohnung dafür zu kassieren oder auf dem freien Markt zu verkaufen, zum Beispiel an Geheimdienste oder...
an Autoren von Malware, die dann entsprechend irgendwelche Schadsoftware, Ransomware oder sowas damit machen.
Und Mythos kann diese Exploits bauen, das ist aber jetzt, das finde ich jetzt nicht so super spannend.
Also das ist jetzt kein Riesenwunder.
Und diese Einschränkung, die Anthropic da drauf gegeben hat, dass also, dass nur bestimmten Unternehmen in die Hand gegeben wird.
Das ist natürlich viel Marketing und ich glaube, dass sie da auch ein gutes Marketing betreiben.
Aber es ist wirklich auch so, dass es natürlich momentan noch sehr stark eingeschränkt ist und viele Unternehmen, die sich das auch gerne angucken würden, da keinen Zugriff drauf haben.
Und ich glaube auch viele Regierungen, was sie natürlich auch nicht besonders freut.
Denn das Problem, also Mythos könnte ja dann ein Teil der Lösung sein, wenn es solche Schwachstellen findet, bevor eben...
Leute, die Schadsoftware schreiben, sie finden.
Für Unternehmen ist es ja wahnsinnig wichtig, also nicht nur wegen Mythos, sondern auch wegen der anderen KI da draußen, die sowas kann, sich darauf irgendwie vorzubereiten und den Angreifern einen Schritt voraus zu sein.
Und es fühlt sich so an, als würde durch KI dieser Schritt voraus immer kleiner und kürzer werden.
Diesen Schritt voraus hat es nie gegeben.
Das war also...
Da muss man, glaube ich, so ein bisschen ehrlich sein.
Es gibt immer Flickschusterei.
Man baut hier noch eine Firewall und noch eine sogenannte Security Appliance davor und hält sich noch ein Gerät hin, das dann dafür sorgen soll, dass die Angreifer nicht ins Netz kommen.
Aber im Grunde ist es in der IT-Security immer so gewesen, dass Angreifer, vor allem gut ausgerüstete Angreifer, den Verteidigern immer einen Schritt voraus waren, weil sie die Sicherheitslücken in aller Regel gefunden haben, bevor die Verteidiger sie gefunden haben und sie dann dementsprechend auch ausnutzen konnten, bevor die Verteidiger sie ausnutzen konnten.
Was sich sehr stark verändert gerade ist der Zeitraum, in dem Sicherheitslücken zwischen ihrer Behebung und also bei der Software, dem Erscheinen auf den Märkten für Exploits oder eben bei Ransomware-Angriffen.
auftauchen, das ist unheimlich eng geworden.
Also ein Beispiel, Mitte Mai gab es eine Sicherheitslücke in Linux, im Linux Kernel, also in dem Kern des Linux Betriebssystems.
Diese Sicherheitslücke wurde gemeldet von einem Unternehmen, das eben IT-Sicherheitsforschung betreibt und wurde dann von den Betreibern, also den Entwicklern des Linux-Kernels behoben.
Linux ist Open Source, wie wir ja alle wissen und dementsprechend war diese Fehlerbehebung auch öffentlich.
Da gab es dann also in dem Quellcode eine entsprechend kommentierte Änderung.
Das waren ungefähr 24 Zeilen und wer den Linux-Kernel-Quellcode sich mal angeschaut hat, das ist Na, ich sag mal, es ist jetzt nicht unbedingt menschenlesbar für jemanden, der das nicht den ganzen Tag macht.
Also da muss man schon relativ genau wissen, was da abgeht.
Und dementsprechend gibt es ein paar Beobachter, die sich diese Sachen sehr genau anschauen.
Und einer von denen meinte, oh, das klingt irgendwie interessant.
Ich könnte mir vorstellen, dass das ein Sicherheitsproblem ist.
Innerhalb von zwei Stunden, nachdem der das geschrieben hatte und innerhalb von, ich weiß nicht, fünf Stunden, nachdem dieser Fehler behoben war, gab es funktionierende...
Exploits für diese Sicherheitslücke, die dazu führen, dass ein beliebiger Nutzer oder ein Nutzer beliebige Daten auf dem System lesen konnte, die er eigentlich nicht hätte lesen sollen.
Und diese zwei Stunden, das ist schon eine extrem kurze Zeitdauer.
Das heißt nämlich, dass du im Grunde als Verteidiger genau auch nur diese zwei Stunden Zeit hast.
Du guckst, hat sich was im Linux-Kernel verändert?
Da ist eine Fehlerbehebung gemacht worden und dann hast du zwei Stunden Zeit, dich auf die ersten Angriffe vorzubereiten.
Das ist praktisch.
mit den aktuellen Gegebenheiten unmöglich für Verteidiger da immer adäquat vorbereitet zu sein.
Unmöglich klingt sehr deprimierend.
Was macht man denn dann als Unternehmen, wenn man zum Beispiel Linux benutzt?
Darüber habe ich in der vergangenen Woche auch mit ein paar Experten gesprochen, also Security-Forschern und Leuten, die eben ihr ganzes Leben mit IT-Sicherheit und mit Sicherheitslücken verbringen.
Und die sagen, dass sich da auf der Verteidigerseite, also bei den Unternehmen, die müssen einfach unheimlich viel schneller werden.
Es wird nicht darum gehen, dass ich einmal im Monat...
meinen Patchday habe und dann sage ich allen meinen Mitarbeitenden, passt mal auf, am Mittwochmorgen könnte es sein, dass es ein bisschen knirscht und dass euer PC nicht so funktioniert wie gewohnt und dass die Serverumgebung nicht so funktioniert wie gewohnt, sondern das wird im Grunde sich verkürzen auf nahezu Echtzeit, auf wenige Stunden und vielleicht, dass man das...
einmal am Tag so eine Patchstunde passiert, denn mit diesem einmal monatlich kommen wir längst nicht mehr hin.
Und wenn Softwarehersteller einmal im Monat einen Patchday ausrufen und sagen, so jetzt beheben wir Sicherheitslücken, dann bedeutet das, dass möglicherweise schwere Sicherheitslücken 29 oder 30 Tage vorher in den Betriebssystemen in der Software bekannt waren und nicht behoben waren.
Und diese 30 Tage, das kann man sich nicht mehr leisten, denn die Angreifer kennen diese Sicherheitslücken in aller Regel gleichzeitig mit den Verteidigern.
Das ist, puh, wie schafft man das denn?
Also ich meine, da ist man ja sehr angewiesen darauf, dass die Softwareunternehmen da schneller werden.
Angenommen, ich bin jetzt ein kleines mittelständisches Unternehmen und habe gar nicht so die IT-Manpower wie zum Beispiel Google.
Wie kann ich denn da noch irgendetwas erreichen, dass meine Daten meines Unternehmens trotzdem noch sicher sind?
Tja.
Wenn ich das wüsste, dann würde ich vermutlich viel Geld mit Unternehmensberatung verdienen.
Ich glaube nicht, dass im Moment jemand da eine allgemeingültige Antwort drauf weiß, denn das ist eine Verkürzung, die vielen der Abläufe, die wir in der IT über Generationen, und damit meine ich wirklich Menschen-Generationen, nicht Computer-Generationen, das sind ja in der Regel nur zwei Jahre, eingeübt haben.
Also gerade in diesen Bereichen wie sagen wir mal, der zentrale Windows-Dateiserver in einem Unternehmen, da ist ja die absolute Prämisse, konservativ zu sein.
Es muss laufen und da gibt es dann diesen alten Sinnspruch, never change a running system, wenn es einmal läuft, Finger weg, nicht mehr anfassen.
Und dieser Sinnspruch ist fundamental gegen diese Änderungen, die wir jetzt gerade in der Landschaft erleben.
Die stehen sich diametral gegenüber.
Das bedeutet nämlich, ich kann nicht mehr...
drei Wochen Zeit nehmen, die Patches erstmal zu testen, bevor ich sie ausrolle.
Denn dann würde das ja bedeuten, dass ein Angreifer möglicherweise sieben Wochen, also fast zwei Monate Vorsprung vor dem Verteidiger hat.
Ich muss das am selben Tag, wenn die Patches kommen, muss ich in der Lage sein, diese Patches in meinem Unternehmen einzuspielen.
Und ich muss ganz genau wissen, was...
in meinem Unternehmen läuft und was möglicherweise durch so ein Update kaputt gehen kann.
Und dann muss ich eine ganz andere Sichtbarkeit haben, eine ganz andere Kontrolle und eine ganz andere Dokumentation meiner IT-Landschaft, also meiner Systeme, meiner Software, dieses ganzen Zoos, den Unternehmen so mit sich rumschleppen, die mit IT zu tun haben und die auf IT ihre Wertschöpfung aufbauen.
Und das wird...
mit manuellen Prozessen nicht funktionieren.
Da müssen wir uns automatische Prozesse bauen.
Wir müssen also als Unternehmen, muss man in der Lage sein, so eine Art Stückliste zu haben, wo alles an Software in allen Versionen, die eingesetzt werden, draufsteht.
Und dann kann man automatisch zum Beispiel eine KI, aber auch ein normales automatisiertes System abhaken lassen.
Diese Software kann mit der anderen Software in der neuen Version nicht, die sind nicht kompatibel.
Wir müssen uns da irgendwas ausdenken, aber das wird alles manuell nicht mehr gehen.
dieser Flaschengeist, der ist ja aus der Flasche.
Das wird jetzt auch nicht mehr langsamer werden.
Es ist jetzt nicht so, dass wir jetzt sagen, okay, wir haben das mit dem KI-Zeugs jetzt mal ausprobiert und haben gemerkt, das macht ganz schön viel Arbeit.
Das lassen wir lieber bleiben, weil die Angreifer, die werden ja den Teufel tun und den Flaschengeist wieder zurück in die Flasche stopfen auf ihrer Seite.
Das heißt, wir müssen mit dieser Kompression, diesem Zusammenrücken der Zeiträume, da müssen wir leben und da müssen wir auch anfangen, mit zu arbeiten.
Und da sind nach meiner Wahrnehmung fast alle sehr, sehr schlecht darauf vorbereitet.
Ja, das kann ich mir vorstellen.
Das ist ja ein Tempo, mit dem normale Unternehmen gar nicht rechnen.
Jetzt hast du schon gesagt, KI kann dabei helfen.
Gibt es IT-Security-Unternehmen, die solche Tools anbieten, schon aktiv?
Ja, es gibt unheimlich viele Unternehmen, die so KI-basiertes Scannen, also Überprüfen auf Schwachstellen anbieten.
Es gibt auch Unternehmen, die beispielsweise eine KI Überprüfung von Quellcode anbieten, bevor er in die Software kommt, also beim Schreiben oder direkt nach dem Schreiben, also dann zu überprüfen, habe ich mir gerade durch diese Änderung, die ich gerade an der Software durchgeführt habe am Quellcode, habe ich mir da irgendwelche Sicherheitslücken ins Haus geholt.
Das ist eigentlich sogar der vielversprechendere Ansatz, weil man da, bevor es schief geht.
schon eine Lösung finden kann und nicht erst, wenn es schon schief geht und bei, ich weiß nicht wie vielen, 10.000 Kunden gelandet ist.
Und da gibt es also viele Anbieter.
Für die Anbieter, die oder Möglichkeiten mit KI-Hilfe diese Sicherheitslücken dann auch zu beheben, die sind dünner gesät und zwar prinzipbedingt, weil man einfach so einer KI ja nicht 100% vertrauen kann.
Die neigt immer zu Halluzinationen.
Sie ist in dem Sinne, also natürlich ist sie ein im Sinne der Informatik, deterministisches System, aber sie fühlt sich halt teilweise zufällig, also nicht deterministisch an und ich muss dann so ein bisschen, ja, ich muss immer überprüfen, ist diese Sicherheitsfix, dieses Update, das mir die KI da vorschlägt, wirklich eine Lösung für diese Sicherheitslücke und da sind wir, glaube ich, noch relativ weit vorne.
Finden geht, beheben sind wir noch nicht so weit, wie wir vielleicht sein sollten an dieser Stelle.
Das ist zumindest mein Eindruck, was KI mit Code so macht im Moment.
Das heißt, man sagt ja, also zurzeit beobachtet man ja, dass KI wahnsinnig viel Code schreiben kann und so die klassischen Entwicklerinnen und Entwickler nicht mehr ganz so viel Arbeit haben wie früher.
Aber IT-Sicherheitsleute werden wahrscheinlich in jedem Unternehmen gebraucht werden, oder?
Das hofft die Industrie sehr.
Viele Rollen verändern sich da auch gerade.
Also diese Triage genannte Erstbehandlung von IT-Sicherheitsproblemen und Sicherheitslücken, die wird sicherlich sehr stark von Menschen auf Maschinen übergehen, also auf KI, die eben guckt, ist das wirklich eine Sicherheitslücke, diese Überprüfung, ob irgendein...
Problem, eine Sicherheitslücke darstellt, kann auch ohne große Schwierigkeiten von einer KI gemacht werden, darf natürlich aber nicht von der gleichen gemacht werden, die die Lücke gefunden hat.
Das ist ja derjenige, der den Programmcode schreibt oder die Meldung macht, der sollte nicht auch derjenige sein, der sie überprüft.
Aber diese Erstbehandlung, da wird viel KI sein und auch die diese schiere Anzahl an irgendwelchen Warnungen, an Alarmen über mögliche Netzwerkeinbrüche oder sowas zu reduzieren und einzuordnen, da wird KI noch eine größere Rolle spielen.
Aber für einen Experten, der Code gut lesen kann, also der versteht, was da gerade passiert und der auch noch versteht, ob da möglicherweise eine Sicherheitslücke unvollständig geschlossen wurde durch das KI-Modell, das da gerade den Code neu schreibt, der wird auch weiterhin einen Job haben.
Nur die Aufgaben werden, denke ich, komplexer werden, also schwieriger.
Also es wird nicht einfach nur Sachen sein, die man durch bloßes Hinschauen und einmal Augen zusammenkneifen sehen kann, sondern das werden dann irgendwann einspruchsvollere Sachen werden.
Und IT-Sicherheitsforscher, die neue Arten von Sicherheitslücken entwickeln, die neue Ideen haben, wo sich Sicherheitslücken in Programmcode, in Netzwerken verbergen kann, die werden auch weiterhin gefragt werden, denn die bringen ja diese Innovation, die KI.
nicht bringen kann.
Vielleicht nochmal zum Schluss so als einschätzendes Ding bei Mythos.
Meinst du, es ist irgendwie gut für die Welt, dass Mythos nicht auf uns alle losgelassen wird?
Oder meinst du, es macht eigentlich gar keinen so großen Unterschied und im Prinzip sollten Unternehmen und Regierungen auf solche starken KI-Modelle auch Zugriff haben?
Also im Prinzip, das ist immer ein schwieriger...
Ein schwieriges Präfix für den Satz.
Im Prinzip wäre das gut, wenn alle darauf Zugriff hätten, aber das wäre jetzt gerade zum aktuellen Zeitpunkt, würde das die Überlastung der IT-Sicherheitsverteidiger, der Leute, die Softwarelücken beheben, der Open-Source-Teams weltweit nur noch viel, viel weiter verstärken.
Und wir sind da gerade schon an einem Punkt angekommen, wo wir sehen, dass Teams, also zum Beispiel auch das Linux-Kernel-Team, das sehr, sehr gut personell im Vergleich aufgestellt ist.
absolut an ihre Grenzen kommen und sagen, wir können jetzt diese Flut an neuen Fehlermeldungen, an neuen Sicherheitslücken oder möglichen Sicherheitslücken gar nicht mehr, da kommen wir gar nicht mehr hinterher.
Und wenn dann auch noch Tausende, Zehntausende Leute weltweit auf die Idee kämen, ja, jetzt nehme ich auch nochmal Mythos her und jetzt melde ich die gleichen Lücken nochmal, denn es gibt ja auch eine unüberschaubare Zahl an Dubletten, die man auch erstmal finden muss oder rausfinden muss, dass es Dubletten sind, dann wäre das der IT-Sicherheit nicht zuträglich, denn das würde nur dazu führen, dass alle Leute, die weltweit IT-Sicherheitsprobleme in Software beheben können, in einen massiven Burnout laufen.
Insofern finde ich diesen...
leicht beschränkten Zugang schon im Moment recht sinnvoll.
Das gilt aber eben auch für alle anderen Modelle und nicht nur für Mythos, die guteren sind, Sicherheitslücken zu finden, denn auch die tragen zu dieser Überlastung bei und die ist ja nicht leicht zu beheben, diese Überlastung.
Das ist ja nicht damit getan, dass du dann sagst, jetzt machen wir auch alles nur noch mit KI, weil am Ende muss trotzdem nochmal ein Mensch drüber schauen.
Meinst du, dass KI-Regulierung in irgendeiner Weise da helfen könnte, dass diese Belastung indem man generell bestimmte Modelle weniger zugänglich macht?
Das hilft am Ende ja nur den Angreifern, weil die der Regulierung nicht unterworfen sind.
Also dann gibt es irgendwelche Untergrundmodelle oder auch bei Enthropic hat es ja schon Quellcode-Leaks gegeben.
Dann gibt es irgendwann nochmal einen Leak der ganzen Trainingsdaten oder eines Teils der Trainingsdaten und dann baut sich die Untergrundökonomie ihr eigenes.
Modell und ihre eigene KI.
Ich glaube, dass schon KI-Regulierung auf eine Art irgendwie kommen muss und wird, aber ob uns das in der IT-Security-Branche jetzt noch irgendwas bringt, da bin ich eher skeptisch.
Okay, also es hilft nichts.
Unternehmen und auch Privatleute müssen extrem auf ihre Sicherheit achten und da wahrscheinlich auch extrem investieren, um einigermaßen mithalten zu können, wenn man auch schon keinen Schritt voraus mehr ist.
Ja, also die Zeit, dass einmal im Monat den PC anschalten, um Updates runterzuladen, die neigt sich rapide dem Ende zu und darauf müssen wir alle vorbereitet sein.
Das wird dazu führen, dass wir sehr viel mehr Updates sehr viel häufiger machen werden, um aktuell zu bleiben und keinen Angriffen ausgesetzt zu sein.
Alles klar.
Vielen Dank, dass du heute da warst mit diesen etwas deprimierenden Nachrichten.
Aber vorbereitet sein, Wissen ist ja mal besser als nicht Wissen.
Genau, zumindest wissen wir ziemlich genau und sehen sehr, sehr öffentlich, was da auf uns zurollt und mal sehen, welche Rezepte, welche Antworten die IT-Branche jetzt entwickelt, denn das ist eine Herausforderung für die gesamte IT-Branche, nicht nur für Open Source, nicht nur für die Linux-Leute oder so, sondern das ist eine Herausforderung für die ganze Branche und der wird sich auch die ganze Branche auf eine oder die andere Art stellen müssen.
Alles klar.
Vielen Dank.
Wer noch mehr zu diesem Thema regelmäßig hören möchte, der kann eure Newsletter und deinen Podcast sich anhören.
Magst du einen kleinen Werbeblock machen?
Genau.
Also ich bin Co-Host zusammen mit dem CT-Redakteur Sylvester Tremmel des Podcasts Passwort.
Den gibt es auf allen Plattformen, wo ihr auch jetzt gerade zuhört.
Und da machen wir alle zwei Wochen aktuelle Themen und auch mal längere Folgen zu.
sagen wir mal, speziellen Security-Themen und da könnt ihr gerne reinhören.
Wer sich professionell für IT-Sicherheit interessiert und damit seinen Arbeitsalltag verbringt und mit uns gemeinsam sich diese Lösung entwickeln will, von denen ich gerade gesprochen habe, der sollte sich mal unseren Fachdienst Heise Security Pro anschauen.
Da ist man Teil einer Community, kann sich gemeinsam weiterbilden und gemeinsam auch mit uns von der Heise Security Redaktion diskutieren, was...
diese ganzen Umwälzungen durch KI für Unternehmen bringen und wie sich Unternehmen darauf vorbereiten.
Super, werde ich alles in den Shownotes verlinken, damit das Publikum da auch Zugriff drauf hat.
Prima, vielen Dank, dass du da warst.
Danke dir, mach's gut, tschüss.
Das war's für heute.
Den nächsten Deep Dive hört ihr an dieser Stelle in zwei Wochen.
Es würde mich freuen, wenn ihr dann wieder dabei seid.
Bis dahin könnt ihr natürlich mit unserem kompakten KI-Update jeden Montag, Mittwoch und Freitag auf dem Laufenden bleiben.
Und falls ihr einen Deep-Dive verpasst habt, findet ihr eine Sammlung aller Folgen auf heise.de slash thema slash ki minus update.
Den Link findet ihr natürlich auch in den Shownotes.
Hallo, ich bin Holger.
Und ich bin Jörg und wir sind das Team der Auslegungssache, das ist der CT-Datenschutz-Podcast.
Wir beschäftigen uns alle 14 Tage mit aktuellen relevanten Themen rund um den Bereich Datenschutz, Datensicherheit, aber auch um politische Themen wie Überwachung.
Dazu laden wir uns immer interessante Gäste ein.
Die können aus den unterschiedlichsten Bereichen kommen.
Wir haben natürlich Juristen auch dabei.
Wir haben aber zum Beispiel auch Landesdatenschutzbeauftragte, Bundesdatenschutzbeauftragte war schon mal da, aber auch.
Technikexperten.
Dabei ist es uns immer wichtig, dass wir verständlich bleiben.
Das heißt, wir versuchen, das Juristen Deutsch so gut wie möglich zu reduzieren und die Dinge so runterzubrechen, dass auch interessierte Laien sie gut verstehen können und auch ihren Nutzen aus unseren teilweise sehr lebhaften Diskussionen ziehen können.
Hört doch mal rein.
Wir freuen uns auf euch.