Microsoft kämpft damit, von Anthropic’s Claude Mythos entdeckte Fehler zu beheben

Anthropics Claude Mythos hat Berichten zufolge Hunderte von Sicherheitslücken in Microsoft-Produkten aufgespürt – allein im April 231 schwerwiegende SharePoint-Schwachstellen.

Die Ergebnisse zeigen, wie künstliche Intelligenz die Fehlererkennung beschleunigen kann. Sie verdeutlichen aber auch den wachsenden Druck auf Microsofts Entwicklungsteams, Schwachstellen rasch zu untersuchen und zu beheben.

Microsoft-Mitarbeiter lobten Claude Mythos

Laut ProPublica äußerten sich Microsoft-Mitarbeiter im Mai während einer internen Besprechung lobend über Anthropics Claude Mythos Preview.

Anthropic gewährte Berichten zufolge rund 40 Partnern frühzeitigen Zugang, darunter Microsoft, Google, Apple und Amazon. Das Unternehmen hat den Zugang zu Mythos 5 nach Genehmigung der US-Regierung inzwischen wiederhergestellt.

Während des Microsoft-Meetings erörterten die Mitarbeiter, wie effektiv das Modell große Codebasen untersuchen und potenzielle Sicherheitslücken identifizieren konnte.

Claude Mythos fand 231 schwerwiegende SharePoint-Sicherheitslücken

Claude Mythos identifizierte im April 90 kritische und 141 wichtige SharePoint-Sicherheitslücken.

Die Zahlen bezogen sich nur auf SharePoint. In anderen Microsoft-Produkten und -Diensten wurden Berichten zufolge Hunderte weiterer Schwachstellen entdeckt.

Microsofts Führungskräfte wiesen die Entwicklungsteams an, kritische und wichtige Probleme vorrangig zu behandeln. Mittelschwere Sicherheitslücken sollten die Entwickler später angehen, weil die Teams nicht über genügend Ressourcen verfügten, um jeden Fund sofort zu beheben.

Mittelschwere Sicherheitslücken können dennoch ernste Risiken verursachen

Eine mittelschwere Sicherheitslücke mag einzeln betrachtet weniger dringlich erscheinen. Angreifer können jedoch mehrere Schwachstellen geringeren Schweregrades kombinieren und so eine gefährlichere Exploit-Kette aufbauen.

Das macht eine verzögerte Behebung riskant, zumal KI-Tools die Geschwindigkeit erhöhen, mit der Sicherheitsforscher und Angreifer Software analysieren können.

Microsoft hat bereits gewarnt, dass KI das Hinauszögern von Windows-Updates gefährlicher macht. Schnellere Schwachstellenerkennung könnte den Zeitraum zwischen der Identifizierung einer Lücke und ihrer Ausnutzung verkürzen.

KI verändert Microsofts Sicherheitsprozess

Microsoft hat seine KI-gesteuerte Windows-Sicherheitsstrategie ausgeweitet, indem es KI-Tools in seine Entwicklungs-, Test- und Sicherheitspipelines integriert hat.

Das Unternehmen hat kürzlich auch MAI-Cyber-1-Flash vorgestellt, ein Cybersicherheitsmodell, das die Kosten automatisierter Sicherheitsuntersuchungen senken soll. Microsoft plant, das Modell in MDASH zu integrieren.

Diese Systeme können mehr Code prüfen und mehr Schwachstellen erkennen, als traditionelle Sicherheitsteams manuell identifizieren könnten. Allerdings erzeugt das Auffinden von mehr Schwachstellen auch einen größeren Rückstau an Behebungen.

Alte Microsoft-Codebestände erhöhen die Arbeitslast

Microsoft-Produkte wie Windows, SharePoint und Microsoft 365 enthalten Code, der über mehrere Jahrzehnte hinweg entwickelt wurde.

Einige ältere Komponenten entsprechen möglicherweise nicht den modernen Sicherheitsstandards oder Entwicklungspraktiken. Die Überprüfung, Ablösung und Modernisierung dieser Systeme erfordert erhebliche Entwicklerressourcen.

KI kann helfen, Schwachstellen in diesen großen Codebasen zu identifizieren, aber Microsoft benötigt weiterhin Entwickler, um die Funde zu validieren, Korrekturen zu erstellen, Updates zu testen und Patches bereitzustellen, ohne die Kunden zu beeinträchtigen.

Microsoft überprüft Personalausstattung und Sicherheitsinvestitionen

Microsoft teilte ProPublica mit, dass das Unternehmen weiterhin prüft, wie seine Teams Schwachstellen klassifizieren und priorisieren.

Da die KI die Zahl der entdeckten Probleme erhöht, evaluiert das Unternehmen außerdem Personalstärke, Sicherheitsinvestitionen und Entwicklungswerkzeuge.

Die Herausforderung besteht nicht mehr nur darin, Schwachstellen zu finden. Microsoft muss auch sicherstellen, dass seine Entwicklungsteams diese schnell genug bearbeiten und beheben können.

Die umfassendere KI-Strategie des Unternehmens könnte ihm helfen, für jede Aufgabe das beste Modell auszuwählen. Microsoft fordert OpenAI und Anthropic heraus, indem es die Abhängigkeit von einem einzelnen KI-Anbieter vermeidet und seinen Teams je nach Kosten, Leistung und Sicherheitsanforderungen Zugriff auf unterschiedliche Modelle gibt.

KI-gestützte Fehlersuche kann die Softwaresicherheit erheblich verbessern. Sie könnte aber auch mehr Schwachstellen offenlegen, als die Entwicklungsteams sofort bewältigen können, was die Bedeutung von Personalausstattung, Priorisierung und schnellerer Patch-Entwicklung erhöht.