GPT-6 Cyber: OpenAI meldet 948 Wege zu Root-Rechten unter Linux

HWL News Bot

HWL News Bot

News
Newsbot
Thread Starter
Mitglied seit
06.03.2017
Beiträge
125.664
OpenAI hat am Donnerstagabend mit GPT-6 Cyber ein auf Sicherheitsanalysen spezialisiertes KI-Modell vorgestellt. In einer Untersuchung des Linux-Kernels sollen entsprechende KI-Agenten bereits 948 eigenständige Fälle gefunden haben, in denen sich lokale Rechte ungewollt bis zum Root-Zugriff ausweiten ließen – potenziellen Angreifern öffnet das Tür und Tor. Voraussetzung ist allerdings der physische Zugang zum betroffenen System, Angriffe aus der Ferne seien zumindest noch nicht nachgewiesen worden.
... weiterlesen
 
Wenn Du diese Anzeige nicht sehen willst, registriere Dich und/oder logge Dich ein.
Hmm...
GPT-6 Cyber mit API-Kosten von 1,12Mio.$
"948 eigenständige Fälle"
"Angriffe aus der Ferne seien zumindest noch nicht nachgewiesen worden"

gegen

Xinyang Ge von Anthropic
"Ein Angreifer braucht weder Passwort noch Zugang. Es reicht, dem Gerät speziell präparierte Verbindungsanfragen zu schicken. Im schlimmsten Fall stürzt das Gerät ab oder der Angreifer übernimmt es komplett."
www.hardwareluxx.de

Kritische Linux-Sicherheitslücke: Viele Router betroffen, Patches kaum verfügbar – Hardwareluxx

Alle Internet-Router, die im Kern auf Linux basieren und den Kernel ab Version 4.4 nutzen, sind von einer kritischen Sicherheitslücke betroffen.
www.hardwareluxx.de www.hardwareluxx.de
 
Das wird eh damit enden, wer die bessere KI hat, der gewinnt. Der Angreifer oder der Angegriffene.
Beides wird noch mehr Ressourcen fressen und die Lage am Markt nicht entspannen.
Wir habens alle so gewollt bzw. wo mit unterstützt.
 
Das hat schon ein G'schmäckle wenn Open AI seine KI auf Linux loslässt, das Ergebnis publik macht und kein einziger Satz zum weltweit meistgenutzen OS verloren worden ist. Ich denke das hier knallharte wirtschaftliche und politische Gründe die Treiber waren. Linux ist weltweit (nicht nur in DE) auf dem Vormarsch, der Quellcode offen - da muss man schon was gegen tun.

Erklärbär schrieb:
Wir habens alle so gewollt
Zum Vergrößern anklicken....
Alle, nie, immer - das ist mir zu absolut. Wenn nur einer (ich z.B.) es nicht gewollt hat sind das nicht alle. Können wir uns demokratisch auf "die Mehrheit" einigen?
 
Alles klar? schrieb:
Alle, nie, immer - das ist mir zu absolut. Wenn nur einer (ich z.B.) es nicht gewollt hat sind das nicht alle. Können wir uns demokratisch auf "die Mehrheit" einigen?
Zum Vergrößern anklicken....
Auf die "überwiegende" :fresse:

Weiß nicht was ihr habt. Das ging vorher eh nicht anders. 80% der Bugs sind menschliches Versagen welches C/C++ zugelassen hat. Rust 1.0 gibt es erst seit Mai 2015. So wirklich gut nutzbar ist das seit 2024. Toll wird es ab Weihnachten 2026.

Die KI nimmt jetzt jeden C-Code auseinander den sie finden kann. Zum Glück unterstützt sie aber auch mächtig die Migration zu Rust. Und "alle" nehme das irgendwie auf ihre todos. Alle.
Cisco z.B. hat jetzt ein Truppe die mit hilfe von KI-Agenten ihre Firmwares nach Rust refactorisieren.

C/C++ war und ist ein Minenfeld.
 
Zuletzt bearbeitet:
Alles klar? schrieb:
Alle, nie, immer - das ist mir zu absolut. Wenn nur einer (ich z.B.) es nicht gewollt hat sind das nicht alle. Können wir uns demokratisch auf "die Mehrheit" einigen?
Zum Vergrößern anklicken....
..ok, falsches Wort! Sagen wir mal "unterstützt". Ja, auch du. Oder hast du noch nie -bewußt oder unbewußt- KI genererierte/unterstützte Software eingesetzt?
Wir müssen uns alle also die Hände in der gleichen Pampe waschen. KI, in den falschen Händen, ist nun mal ein sehr lukratives Geschäft und das wirklich paradoxe an der ganzen Geschichte, niemand kann für sich selbst wirklich ehrlich beantworten, wem er nun durch sein tgl. Surf/Kauf/Anwendungs- und Nutzerverhalten nun wirklich mehr unterstützt. Die Guten oder doch eher die Bösen?
 
Zuletzt bearbeitet:
Alles klar? schrieb:
Das hat schon ein G'schmäckle wenn Open AI seine KI auf Linux loslässt, das Ergebnis publik macht und kein einziger Satz zum weltweit meistgenutzen OS verloren worden ist.
Zum Vergrößern anklicken....

Das meistgenutze OS weltweit ist Linux... So gut wie alles läuft damit, dein Router, dein Fernseher, dein Handy, dein Auto, das NAS, der Server usw.
 
Zeitmangel schrieb:
Cisco z.B. hat jetzt ein Truppe die mit hilfe von KI-Agenten ihre Firmwares nach Rust refactorisieren.

C/C++ war und ist ein Minenfeld.
Zum Vergrößern anklicken....
Ah ja...
www.heise.de

Schadcode-Attacken auf Cisco UCS Central Software und Unified CM möglich

Sicherheitsupdates schließen Lücken in Cisco UCS Central Software und Cisco Unified Communications Manager.
www.heise.de www.heise.de

Thema Minenfeld
Gleich OnT mit OpenAI Cyber am Ende
"Bei einigen so erstellten Exploits hätten die Sicherheitsexperten nicht geglaubt, dass sie echt seien."

www.heise.de

Erstmals geknackt: Calif.io hackt iOS-Blockierungsmodus, Exploit überlebt Update

Das Security-Team Calif.io hat nach dem ersten Untethered-Jailbreak für iOS 27 nun auch Apples Lockdown-Mode überwunden. Doch das ist nicht alles.
www.heise.de www.heise.de
 
Zuletzt bearbeitet:
Erstens: Linux ist VIEL weiter verbreitet als Windows
Zweitens: Das kann überhaupt geprüft werden, denn Quellcode ist offen
Drittens: Ich wünsche mir den Quellcode von Windows mal dieser KI vorgeworfen :D
 
Das gibt sich doch alles nichts und kritische Lücken sind überall enthalten ...

Immer wieder dieses Linux vs Windows Fanboy Geseiere. Beides hat Vor- und Nachteile. Man nutzt einfach das, was man für dein Einsatzzweck gut gebrauchen kann.
Ich bin über jede gefundene Lücke froh, denn nur dann wird sie geschlossen. Das und nur das zählt.
Wenn OpenAI Millionen dafür raushaut, damit sie Werbung/Presse bekommen - von mir aus! Besser als das die Lücken leise weiter vor sich hin schlummern.
 
Die haben schon so viel behauptet, dass man ihnen eigentlich nichts mehr glauben kann.
 
Schon etwas grusselig das selbst in so gut auditierter Software wie Linux noch so viele Lücken find bar sind, allerdings erklärt das auch wie Gruppen wie LulzSec so ungezügelt ihren Spaß haben konnten in der Vergangenheit. Das wird dann wohl in Zukunft Geschichte sein, da irgendwann einfach alles gefunden wurde und man mit KI den kompletten Software stack scannen kann bevor der überhaupt in den Produktivbetrieb geht. Damit ist closed source Software noch ein viel größeres Risiko das man wohl in Zukunft schlicht einfach für gar nichts mehr einsetzen kann was mit sensiblen Daten arbeitet oder Internet facing ist. KI wird on the long run dann unter umständen Microsoft zu Fall bringen, oder die stellen Windows ein und hoffen vorher noch mehr von OpenAI kaufen zu können?
 
@TheBigG
Es gibt jetzt schon Modelle die man on-premise dafür nutzen kann. Man braucht halt 2 volle Racks. Das kann sich Microslop leisten.

Das andere ist, wie gesagt, Rust. 80% der CVEs von Linux wären keine, wenn das komplett in Rust wäre. Daher wird keiner seinen Code bei OpenAI prüfen lassen, sondern alle gehen nach und nach auf Rust. Die Compiler-Toolchain ist da die KI.

Rust beseitigt keine Schwächen von C(++). Das aht keine. Rust lässt beim Compilerlauf menschliche Schwächen nicht zu. Das ist alles. Und das reicht auch für ein sicheres System. Es geht nicht um funktionelle Bugs.

Jedes Mal, wenn man z.B. etwas über use-after-free Lücken liest - wie jetzt die OBERFETTE Lücke die Anthropic gemeldet hat - geht es um menschliches Versagen.
 
Zuletzt bearbeitet:
Ein Paar der AI gefundenen Sicherheitslücken sind aber keine Fehler. Das pausieren beim Hochfahren um in der Konsole als System das Root Passwort zu setzen oder einen User hinzufügen ist z. B gewollt.
Würde mich nicht wundern das die AI dies als Lücke halluziniert. Ich habe mit ein paar Jungs auf it-sa gesprochen aus dem sec Bereich.

Sie sind schon der Meinung AI ist ein game Changer. Allerdings ist einiges davon Halluziniert und vieles hat auf internen Tests keinen Bestand.
Also sie konnten die Lücken nicht realisieren.

Wie viele von den gemeldeten sind tatsächlich nutzbar und in welcher Konstellation?
 
Wahrscheinlich 400 bis 500. Anschauen muss man sich jetzt leider jede. Für alle braucht man einen physischen Zugang. Kann man mal nach und nach wegmachen, ABER das Ding was Xinyang Ge von Anthropic gefunden hat ist schon recht nah an der Apokalypse.
 
Naja, auf der IT-SA rennen leider größtenteils die Marketingfizzis der Konzerne rum - selten mal was mit Tiefgang. Aber grundsätzlich habe die schon Recht. Ne Lücke macht noch keinen Vektor, du hast ja ein wunderbares Beispiel gegeben.
Eine Sache hab ich hier neulich iwo gelesen die hatl stimmt: C++ ist zu komplex, Menschen beherrschen das nicht sauber, ne KI schon. Lustige Zeiten - not.
 
Für ne KI wirds recht egal sein ob der Quellcode verfügbar ist, die spricht auch Assembler.
 
Erklärbär schrieb:
Das wird eh damit enden, wer die bessere KI hat, der gewinnt. Der Angreifer oder der Angegriffene.
Beides wird noch mehr Ressourcen fressen und die Lage am Markt nicht entspannen.
Wir habens alle so gewollt bzw. wo mit unterstützt.
Zum Vergrößern anklicken....
Nicht unbedingt, die systeme werden ja immer sicherer. Und gehen späße wie airgap oder bidirektional airgap nützt dir die KI gar nichts.
 
Schmufix schrieb:
Für ne KI wirds recht egal sein ob der Quellcode verfügbar ist, die spricht auch Assembler.
Zum Vergrößern anklicken....
Die spricht aber nicht *.bin. Klar kann sie decompilieren, aber das ist von der Präzision und Verlässlichkeit was völlig anderes als Quellcode + Compilier"anleitung" (Reihenfolge, Fragmente, blobs und co). Also so völlig anderes.
 
Schmufix schrieb:
Für ne KI wirds recht egal sein ob der Quellcode verfügbar ist, die spricht auch Assembler.
Zum Vergrößern anklicken....
Die KI kann nur was man ihr freischaltet. Sie kann tatsächlich nicht mal nativ maschinensprache, wenn es ihr nicht beigebracht wird.
Ich bin gerade aktuell auch damit am werkeln und die KI brauch Werkzeuge und Methoden.
Ohne diese kann sie nicht viel.
Sie ist ja in gewisser Hinsicht eine Datenbank ohne entsprechende Abfragen interaktion kann die Datenbank nichts.
 
n3cron schrieb:
Die KI kann nur was man ihr freischaltet. Sie kann tatsächlich nicht mal nativ maschinensprache, wenn es ihr nicht beigebracht wird.
Ich bin gerade aktuell auch damit am werkeln und die KI brauch Werkzeuge und Methoden.
Ohne diese kann sie nicht viel.
Sie ist ja in gewisser Hinsicht eine Datenbank ohne entsprechende Abfragen interaktion kann die Datenbank nichts.
Zum Vergrößern anklicken....
Was hindert die KI IDA Pro oder Ghidra zu verwenden dann hat sie schonmal C-Pseudocode.
 
Tralien schrieb:
wie war das? linux sei so sicher im vergleich zu windows? 😂
Zum Vergrößern anklicken....
Wird Zeit für ein hartes umdenken:
Sicherheit ist es die kleinst mögliche Angriffsfläche zu bieten.

Ansatt immer zu versuchen die nächste jetzt sichere Eierlegende Wollmilchsau zuentwickeln sollte man sich stärker auf kleine, dafür gut validierbare Programme beschränken.
Aktuell mit dem ganzen Vibe coding wird es erstmal noch schlimmer werden. Die AI ist nicht sparsam und die user hauen hirnlos einen feature request nach dem nächsten rein, da es fast nichts kostet.


Schmufix schrieb:
Was hindert die KI IDA Pro oder Ghidra zu verwenden dann hat sie schonmal C-Pseudocode.
Zum Vergrößern anklicken....
Nichts:
 
Shihatsu schrieb:
Eine Sache hab ich hier neulich iwo gelesen die hatl stimmt: C++ ist zu komplex, Menschen beherrschen das nicht sauber, ne KI schon. Lustige Zeiten - not.
Zum Vergrößern anklicken....
Wobei die das auch nicht vom Scratch für einen Primitivprompter kann. Und das dauert auch. Die AI-Buden können das machen, wenn sie die Maschinen intern für virtuelles Geld nutzen. Bei C(++) sind in solchen Fällen nämlich nicht nur die handwerklichen Fehler relevant, sondern auch die logischen.

Im Gegensatz zu Rust. Da sind nur die handwerklichen Fehler sicherheitsrelevant und wenn man welche macht, lässt das einfach schon der Compiler nicht durch. Logische Probleme (alle restlichen Bugs) kann man auch da weiterhin bekommen, aber keine sicherheitsrelevanten mehr.

Deswegen auditieren die großen Buden ihren C-Code nicht mehr mit den LLMs, sondern nutzen diese als Assistenten beim Migirieren des ganzen Schrotts nach Rust. Für die KI ist Rust auch einfacher. Sie muss vom Standpunkt der Sicherheit ihre Ideen nicht mit Abertausenden Tokens auditieren, sondern lässt es 1x über rustc laufen. Wenn es durch den Compiler kommt, ist es kodesicher.
 
Zuletzt bearbeitet:
Mowsel schrieb:
Das riecht schon wieder nach zahlreichen weiteren nächtlichen Patchorgien
Zum Vergrößern anklicken....
Das wird erstmal nicht so schnell aufhören. Für Admins in der EU empfehlt es ich aktuell den Tag/Nacht-Rhythmus auf den von Los Angeles umzustellen. Die amerikanischen Admins stellen ihren bereits auf GMT um...
 
Anmelden, um zu antworten.
Hardwareluxx setzt keine externen Werbe- und Tracking-Cookies ein. Auf unserer Webseite finden Sie nur noch Cookies nach berechtigtem Interesse (Art. 6 Abs. 1 Satz 1 lit. f DSGVO) oder eigene funktionelle Cookies. Durch die Nutzung unserer Webseite erklären Sie sich damit einverstanden, dass wir diese Cookies setzen. Mehr Informationen und Möglichkeiten zur Einstellung unserer Cookies finden Sie in unserer Datenschutzerklärung.


Zurück
Oben Unten refresh