Microsoft kämpft mit der Behebung von Bugs, die von Anthropics Claude Mythos gefunden wurden

Anthropics Claude Mythos hat Berichten zufolge hunderte Sicherheitslücken in Microsoft-Produkten gefunden, darunter allein im April 231 schwerwiegende SharePoint-Schwachstellen.

Die Erkenntnisse zeigen, wie künstliche Intelligenz die Fehlererkennung beschleunigen kann. Sie verdeutlichen aber auch den wachsenden Druck auf die Entwicklerteams von Microsoft, Schwachstellen schnell zu untersuchen und zu beheben.

Microsoft-Mitarbeiter lobten Claude Mythos

Laut ProPublica lobten Microsoft-Mitarbeiter die Vorschauversion von Anthropics Claude Mythos während einer internen Besprechung im Mai.

Anthropic gewährte Berichten zufolge rund 40 Partnern frühen Zugriff, darunter Microsoft, Google, Apple und Amazon. Das Unternehmen hat den Zugang zu Mythos 5 inzwischen nach Genehmigung der US-Regierung wiederhergestellt.

Während des Microsoft-Meetings diskutierten die Mitarbeiter, wie effektiv das Modell große Codebasen untersuchen und potenzielle Sicherheitslücken erkennen könne.

Claude Mythos entdeckte 231 schwerwiegende SharePoint-Schwachstellen

Claude Mythos identifizierte im April Berichten zufolge 90 kritische und 141 wichtige SharePoint-Schwachstellen.

Die Zahlen bezogen sich nur auf SharePoint. In anderen Microsoft-Produkten und -Diensten wurden dem Vernehmen nach hunderte weitere Schwachstellen entdeckt.

Microsoft-Manager wiesen die Entwicklungsteams an, kritische und wichtige Probleme vorrangig zu behandeln. Schwachstellen mit mittlerem Schweregrad sollten die Entwickler später angehen, da die Teams nicht genügend Ressourcen hatten, um jeden Fund sofort zu beheben.

Schwachstellen mit mittlerem Schweregrad können dennoch ernste Risiken schaffen

Eine Schwachstelle mit mittlerem Schweregrad mag bei isolierter Betrachtung weniger dringlich erscheinen. Angreifer können jedoch mehrere Schwachstellen mit geringerem Schweregrad zu einer gefährlicheren Angriffskette kombinieren.

Dadurch wird eine verzögerte Behebung riskant, zumal KI-Werkzeuge die Geschwindigkeit erhöhen, mit der Sicherheitsforscher und Angreifer Software analysieren können.

Microsoft hat bereits gewarnt, dass KI das Hinauszögern von Windows-Updates gefährlicher macht. Eine schnellere Schwachstellenerkennung könnte den Zeitraum zwischen der Identifizierung einer Schwachstelle und ihrer Ausnutzung verkürzen.

KI verändert den Sicherheitsprozess von Microsoft

Microsoft hat seine KI-gesteuerte Windows-Sicherheitsstrategie ausgeweitet, indem es KI-Tools in seine Entwicklungs-, Test- und Sicherheits-Pipelines integriert.

Das Unternehmen hat außerdem kürzlich MAI-Cyber-1-Flash eingeführt, ein Cybersicherheitsmodell, das die Kosten automatisierter Sicherheitsuntersuchungen senken soll. Microsoft plant, das Modell in MDASH zu integrieren.

Diese Systeme können mehr Code prüfen und mehr Schwachstellen erkennen, als herkömmliche Sicherheitsteams manuell identifizieren könnten. Allerdings führt das Finden weiterer Schwachstellen auch zu einem größeren Rückstau an noch zu behebenden Problemen.

Legacy-Code von Microsoft erhöht den Arbeitsaufwand

Microsoft-Produkte wie Windows, SharePoint und Microsoft 365 enthalten Code, der über mehrere Jahrzehnte hinweg entwickelt wurde.

Einige ältere Komponenten entsprechen möglicherweise nicht den modernen Sicherheitsstandards oder Entwicklungspraktiken. Die Überprüfung, der Austausch und die Modernisierung dieser Systeme erfordern erhebliche Entwicklerressourcen.

KI kann helfen, Schwachstellen in diesen großen Codebasen zu identifizieren, aber Microsoft benötigt dennoch Entwickler, die die Funde validieren, Korrekturen erstellen, Updates testen und Patches bereitstellen, ohne Kunden zu beeinträchtigen.

Microsoft überprüft Personalbestand und Sicherheitsinvestitionen

Microsoft teilte ProPublica mit, dass das Unternehmen weiterhin prüft, wie seine Teams Schwachstellen einstufen und priorisieren.

Das Unternehmen bewertet zudem Personalbestand, Sicherheitsinvestitionen und Entwicklungstools, da KI die Zahl der entdeckten Probleme erhöht.

Die Herausforderung besteht längst nicht mehr nur darin, Schwachstellen zu finden. Microsoft muss auch sicherstellen, dass seine Entwicklungsteams sie schnell genug bearbeiten und beheben können.

Die übergreifende KI-Strategie des Unternehmens könnte ihm helfen, für jede Aufgabe das beste Modell auszuwählen. Microsoft fordert OpenAI und Anthropic heraus, indem es die Abhängigkeit von einem einzigen KI-Anbieter vermeidet und seinen Teams Zugriff auf verschiedene Modelle gewährt – je nach Kosten, Leistung und Sicherheitsanforderungen.

KI-gestützte Fehlererkennung könnte die Softwaresicherheit erheblich verbessern. Sie könnte aber auch mehr Schwachstellen aufdecken, als die Entwicklungsteams sofort bewältigen können, wodurch Personalausstattung, Priorisierung und schnellere Patch-Entwicklung an Bedeutung gewinnen.