Neustadt an der Tech (dpo) – Ein italienisches IT-Sicherheitsunternehmen hat eine schwerwiegende Sicherheitslücke in einem weit verbreiteten Betriebssystem entdeckt, konnte diese jedoch wochenlang nicht an den Hersteller melden. Grund: Das Bug-Bounty-Programm des Technologiekonzerns ist durch eine Flut KI-generierter Phantom-Fehlerberichte so überlastet, dass echte Sicherheitslücken nicht mehr durchkommen.

Das Startup aus der norditalienischen Provinz hatte eine kritische Schwachstelle gefunden, deren geschätzter Schwarzmarktwert Experten zufolge bei bis zu 180.000 Dollar liegt. Als die Forscher die Lücke jedoch über das offizielle Meldesystem einreichen wollten, erhielten sie eine automatische Absage: Sie hätten ihr monatliches Kontingent von fünf Einreichungen bereits ausgeschöpft. "Wir hatten in diesem Monat aber noch gar nichts gemeldet", erklärt die Gründerin des Startups ratlos. Der Konzern habe das Limit eingeführt, weil automatisierte KI-Systeme täglich Tausende halluzinierte Fehlerberichte einreichten, die das Prüfteam völlig überforderten.

"Wir mussten eine Obergrenze einführen, um die Spreu vom Weizen zu trennen", bestätigt der Sicherheitschef des Unternehmens. Die KI-generierten Meldungen beschrieben oft detailliert Sicherheitslücken in Programmteilen, die gar nicht existieren, oder in Softwareversionen, die nie veröffentlicht wurden. "Manche Berichte waren so überzeugend formuliert, dass unsere Prüfer erst nach Stunden merkten, dass die beschriebenen Funktionen reine Fantasie sind."

Das Startup musste die kritische Lücke schließlich über einen persönlichen Kontakt beim Konzern melden, nachdem es drei Wochen lang vergeblich versucht hatte, das automatische System zu umgehen. In dieser Zeit, so die Gründerin, hätte die Schwachstelle theoretisch von Kriminellen ausgenutzt werden können. Der Konzern erwägt nun, für das Bug-Bounty-Programm eine Captcha-Abfrage einzuführen – allerdings befürchtet man, dass auch diese von modernen KI-Systemen problemlos umgangen werden könnte.