Post by @AwetTesfaiesus@mastodon.social
Ich versuche, die Rolle von KI bei #php2shell einzuordnen. Ist es das Fieber oder das Fieberthermometer?
Mir scheint: letzteres.
Liege ich falsch?
4 boosts
Sowohl als auch, denn zum einen können mit KI schneller Lücken erkannt werden, auf der anderen Seite aber auch leichter ausgenutzt werden. Die Frage ist eigentlich, ob Software, die von KI selbst erstellt wird (zB durch vibe coding), zuverlässiger sein wird. Ich bin da noch skeptisch.
Wobei hier die Frage ist, ob das nicht auch ohne KI bereits der Fall wäre. Ki erhöht da nur die Wahrscheinlichkeit und auch die Geschwindigkeit
@marquito Wahrscheinlichkeit wofür? Die Schwachstelle war da; dass sie von state actors ausgenutzt wurde, halte ich für überwiegend wahrscheinlich.
Advocata diaboli:
Sollen wir der KI nicht danken, dass sie die Welt auf die praktische Relevanz des Problems aufmerksam gemacht hat?
Happy to be proved wrong.
Keine Ahnung, ob man da der KI danken sollte. Vielleicht wäre die Lücke nicht entdeckt worden oder nur später - schwer zu beweisen.
Was ich nur sagen wollte ist, dass man nicht weiß, was state actors bereits wussten und getan haben - vollkommen unabhängig von KI. Es kann sein, dass dort die Lücke schon länger bekannt war auch ohne KI. Who knows?
Das habe ich bisher noch nicht gehört. Muss ich mal schauen, ob ich dazu was offizielles finde.
@marquito @AwetTesfaiesus Dass da theoretisch eine Lücke sein könnte, war dem Team seit 2024 bekannt. Dass sie auch konkret genutzt werden kann und wie genau, das ist die neue Erkenntnis. Details hier: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
Das zugrundeliegende Problem ist dass das Team nicht genug Kohle hat, wie bei vielen FLOSS Projekten. Große Firmen bedienen sich gerne, ohne was zurückzugeben und es bleibt viel bei Ehrenamtlichen hängen.
@AwetTesfaiesus @marquito Ja, es ist die Kombination von 2 Problemen, die da aufeinandertrifft.
Es sollten jetzt übrigens auch alle ihre Browser aktualisieren. Da hab es ein unsicheres Verschlüsselsungszertifikat der Firma eMudhra. Darum geht es bei den ganzen "4" Witzen diese Woche.
Wer rumprogrammiert oder Server betreibt, muss hier mindestens ca-certificates, Python pip und node.js aktualisieren.
Browser testen kann man mit https://emudhra.we-have-a-problem.com/
@AwetTesfaiesus @gunchleoc @marquito
Es geht um 2 Fehler, an denen die Foundation seit 2 Jahren arbeitet. Aber "To fix the OOM problem, the PHP security team developed several competing approaches, but each came with its own trade-offs: backward compatibility breaks, new denial-of-service potential, or requiring changes to many third-party extensions which seemed impossible to coordinate." Fehlende Ressourcen und auch strukturelle Fragen werfen sie hier sehr offen auf:
https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
@AwetTesfaiesus @marquito Die von dir zitierte Aussage sagt lediglich, dass der Fehler vor 18 Jahren gemacht wurde, und nicht dass er seit 18 Jahren bekannt ist.
@AwetTesfaiesus @marquito Stell dir mal vor es könnte ab morgen jeder in seinem Keller eine Atombombe bauen. Würdest du dann auch sagen "state actors können das seit 1945"?
Wir reden hier von einer ganz anderen Qualität der Bedrohung. Jeder Kriminelle, Fanatiker oder auch Teenager mit Langeweile kann dank KI von zu Hause aus kritische Systeme angreifen. Klar, man hätte die von Anfang an sicherer gestalten müssen, aber diese Messe ist gelesen.
@AwetTesfaiesus @marquito Tatsächlich? In Frankreich wurden schon die Kühlgeräte in Supermärkten sabotiert. Alle Infrastruktur hat löchrige Software. Und man kann außer der #noAfd auch andere hacken. Dann sind schwupps Bankdaten, Adressen, sexuelle Vorlieben, politische Orientierung, Krankenakten, etc. im Netz.
@AwetTesfaiesus also die Idee ist, dass wenn das Update raus ist, dann kann man die KI fragen, wo wurde da etwas gefixt und was hat das für Auswirkungen bzw. wie kann man das ausnutzen.
Das hat früher Tage gedauert, weil das jemand mit Nachdenken machen musste. Die Ki, so die Annahme, reduziert diese Zeit zu Minuten.
Es gab auch einen Blogartikel den beschrieb, dass selbst das Gerücht einer Lücke und der Bereich reicht, um der KI die richtige Richtung zu geben.
Ob es aber wirklich einen brauchbaren Exploit am Ende gibt, kann niemand mit Sicherheit sagen, oft müssen dafür auch andere Fehler gemacht werden. In der Regel ist das aber so
@bithive aber erst war der Fehler, oder?
Also, es ist kein Fall von: die KI hat schlechten Code geliefert und der ist irgendwie im fertigen Programm gelandet, oder?
@AwetTesfaiesus da der Fehler bis zur Version 5 von PHP runter geht vermute ich, dass der Code etwa 10 Jahre als ist und das ganz ohne KI passiert ist
@AwetTesfaiesus
Ich hoffe ich verstehe deine Frage richtig: so wie ich es gelesen habe wurden die beiden Lücken durch ein Audit gefunden das Mi KI durchgeführt wurde.
https://www.heise.de/news/php2shell-Kritische-Sicherheitsluecken-erlauben-Codeeinschleusung-in-PHP-11492938.html
@dve ich habe verstanden, dass die Lücken seit sehr vielen Jahren bereits wahr sind und auch schon sehr lange bekannt sind, ob KI nur Wiesen hat, dass sie praktisch ausgenutzt werden können.
Wenn das so wäre, dann wäre der KI doch eindeutig zu danken, oder? Denn sicherlich haben Akteure mit erheblichen Ressourcenvorrat das auch schon seit vielen Jahren ausnutzen können (zumindest ist doch davon auszugehen).
Genau, und deshalb sollten Nachrichtendienste solche Bugs melden, damit diese Lücken geschlossen werden können, denn theoretisch kann jeder solche Lücken finden und ausnutzen.
Auch andere Dienste und somit sollte man nicht davon ausgehen, dass es sozusagen "Geheimwissen" ist.
Vor allem wenn KI die Lücke findet, sollte man sie als öffentlich betrachten, denn a) die KI Firmen lesen ja mit (siehe der Fall in der Mathematik) und b) jeder kann durch KI auch selber drüber stolpern.
Es gibt diesen Burggraben heute nicht mehr, den man hatte, wenn man die besten Entwickler vom Mark gekauft hatte und alle anderen diese nicht hatten.
@AwetTesfaiesus
KI ist der Virus. PHP das System mit Problemen im Immunsystem und die aufgeregten Medien das Thermometer.
Wie ich es momentan verstehe ist die Lage ähnlich, wie wenn der Kriminologie das Dunkelfeld aufgehellt wird.
@AwetTesfaiesus Würde ich an der Stelle nicht sagen - vielleicht wenn es darum geht, wie von offizieller Seite oder von organisierten Gruppen an so Fehler herangegangen wird - sicher nicht auf Seiten der PHP-Foundation. Denn von der Seite der Entwickler liegt alles offen - imho auch schonungslos sich selbst gegenüber (Entscheidungsprozess problematisch z.B.).
@AwetTesfaiesus Das neue sind aus meiner Sicht weniger die kritischen Lücken, sondern, dass es keine Vorwarnzeit mehr gibt. Ständig irgendwelche öffentlichen Exploits, ohne dass schon ein Patch oder auch nur eine Mitigation am Start wäre und man nur noch abschalten kann. Sowas gab es in der Vergangenheit auch schon ab und zu. Aber inzwischen scheint das der Regelfall zu sein.
Aber selbst wenn Patch oder Mitigation da sind und der Exploit nicht öffentlich, können jetzt quasi Hinz und Kunz allein anhand des Patches oder der Mitigation selbst mit AI-tools relativ schnell Exploits finden.
das ist nicht falsch. KI eignet sich gut, eine Codebase nach Problemen zu durchsuchen, und die gefundenen zu verknüpfen.
dabei kann viel "probiert" werden was am Ende runterfällt.
das Resultat ist komplexer, als es ohne KI wahrscheinlich wäre, KI hilft den Raum von Möglichkeiten abzusuchen
@AwetTesfaiesus
Vielleicht eher Brandbeschleuniger. Das Problem war seit 2024 bekannt, nur konnte es nicht ausgenutzt werden - behoben aber auch nicht.
Der Einsatz von spezialisierten Angriffwerkzeugen ("Hackertools" nach unserem §202c StGB) mit LLM-Unterstützung - landläufig "KI" genannt - hat die Balance zwischen Angreifern und Verteidigern verschoben.
https://tolmo.com/blog/faster-than-anyone-can-fix-them/
@AwetTesfaiesus KI ist in dem Fall nicht der Verursacher.
Also der Bug ist auf klassische Weise entstanden.
Entdeckt wurde er mit Hilfe von KI.
Ob KI beim beheben des Bug beteiligt war, ist mir nicht bekannt.
Den Fehler auszunutzen ist jetzt dank der KI sehr einfach geworden, da man kein Experte mehr sein muss und sie deutlich schneller tippt/programmiert als ein Mensch.
Eine Analogie zu Fieber habe ich leider nicht gefunden.
@ex @AwetTesfaiesus Der Fehler war seit 2 Jahren bekannt. Wegen der schwierigen Ausnutzbarkeit und fehlenden Budgets aber nicht behoben.
KI hat jetzt die Rechnung verändert, was den anzunehmenden Aufwand für einen Angriff angeht. KI wird zur Automatisierung der Angriffe verwendet. Mit der Entdeckung des Fehlers hatte sie nichts zu tun.
@h_albermann @ex der Fehler war auch: seit ~ 20 Jahre drin. Er wird Rauch bei einem menschlichen Audit gefunden.
Hältst du es für denkbar, dass state actors diese für das Internet zentrale Software nicht schon längst (!) ebenfalls auditiert haben?
Schon längst?!
@AwetTesfaiesus @ex Einerseits scheint das logisch. Aber andererseits gab es Minerva. Da verwenden mehr als 100 Staaten dieser Welt (und ihre Geheimdienste) die Verschlüsselungsgeräte einer Schweizer Firma … die dem BND und der CIA gehört. 🤦🏼♂️
D.h. die Kochen auch nur mit Wasser.
https://amerika21.de/analyse/237431/das-minerva-geheimnis-der-cia
@AwetTesfaiesus @ex An der Kompetenz des BND …
Aber wie immer in diesem Bereich muss man sich dann fragen: Wer könnte daran Interesse haben, dass der BND als inkompetent gilt? 🤔
😉
@AwetTesfaiesus Es ist ein Fieberthermometer auf Steroiden.
Mit KI geht das, was sonst manuell und sehr viel Zeit gekostet hat, in Minuten.
Grundsätzlich: Jeder Fehler, den ein LLM findet, kann auch ein Mensch finden - aber eben mit sehr viel mehr Aufwand.
Die "Krankheit" (Bug) war schon längst da. Da hat das LLM keinen Anteil daran. Es hat sie nur aufgedeckt.
@AwetTesfaiesus Der KI-Hype ist der Chirurg, der zufällig die Herzschwäche entdeckt hat, als er die HüftOP vorbereitet hat.
Hätte man nicht "irgendwas mit KI" gesagt, wär's nicht in der tagesschau.
Das "KI"-Buzzword gibt IT-Themen derzeit extra Sichtbarkeit, so wie früher "facebook" & "twitter" (die älteren werden sich noch erinnern).
Nein, mein Bild ist irreführend.
So vielleicht:
Der KI-Hype ist Brad Pitt, der das Fieberthermometer gehalten hat und dabei gefilmt wurde.
@AwetTesfaiesus Linus vom CCC war gestern im Mittagsmagazin und hat es ganz gut eingeordnet.https://www.zdfheute.de/video/zdf-mittagsmagazin/php-sicherheit-it-ki-100.html
@AwetTesfaiesus
Beides würde ich sagen. Initial wurde das Problem ohne KI entdeckt, aber später mehrfach "neuentdeckt". Als dann im Release das Embargo gebrochen wurde, wurde KI zun Brandbeschleuniger, da dann mit dem vorveröffentlichen Fix das Problem schnell rekonstruiert und Angriffe entwickelt werden konnte.
Mein Mobilfon ist so eingestellt, dass Updates nur nach Freigabe installiert werden. Ich sehe **jeden Tag** im Mittel 4.
Ganz selten konkretes über geänderte Funktionen. Oft: "fixes bugs".
Meine Schlussfolgerung: sämtliche Software auf diesem Planeten ist löchrig wie ein Sieb. Und ein sehr großer Anteil wird in Programmiersprachen geschrieben, die geradezu dazu einladen, sich ins Knie zu schießen.
Offenlegung: bin selbst Softwareentwickler.
@AwetTesfaiesus@mastodon.social Naja, das Problem wurde ja vor Jahren schon gefunden, aber ja, KI findet durch die andere Herangehensweise halt auch mehr und andere Sachen. Aber vor allem: durch Ki Lassen sich diese Lücken viel leichter ausnutzen.
@bastian und eben dieses Argument scheint mir hinterfragenswert. Wer kann sie leichter Ausnutzen? Staaten können es mE schon längst.
@AwetTesfaiesus @bastian
Alle, die ne KI bedienen können.
Insofern vergrößert das den Kreis der potenziellen Schädiger schon erheblich.
Klar, Staaten und entsprechend große Organisationen konnten das schon immer. Aber jetzt halt auch ein beliebiger Rechtsextremer, der zum Beispiel mal ne Teilnehmyliste von ner random Antifa-Veranstaltung haben möchte.
@AwetTesfaiesus
Natürlich ist es unsicher, wenn‘s einer kann.
Aber es geht halt auch noch unsicherer.
Aktuell fühle ich mich (noch) nicht von staatlichen Akteuren in meiner persönlichen Sicherheit bedroht.
Von Extremisten aber schon.
@bastian
@AwetTesfaiesus
Du betreibst Derailing.
Nein, nicht annähernd so sehr wie durch einen durchgeknallten Nazi.
@bastian
@AwetTesfaiesus@mastodon.social Ich zum Beispiel: bin Produktmanager, kann ausbildungsbedingt programmieren, aber eher so durchschnittlich. So eine Lücke könnte ich nur mit großer Mühe sinnvoll ausnutzen. Mit KI nun nur eine Frage des richtigen Promptings und Modells.
@AwetTesfaiesus Ein großes Problem für Geheimdienste. Die lebten doch von nur ihnen bekannten Sicherheitslücken, bis diese nicht mehr haltbar waren. Wenn jetzt alle Burgen nicht mehr durchlässig werden, so sind das auch die Burgen der Schurken. Die Frage ist: In was für eine Welt schlittern wir jetzt? Wird sie besser oder schlechter?
@AwetTesfaiesus "KI" ist das digitale Gegenstück zur Neutronenbombe und man sollte diejenigen, die sie vor wenigen Jahren über uns abgeworfen haben, als das betrachten, was sie sind: Skrupellose Verbrecher. Und man sollte sie als auch solche behandeln.
@AwetTesfaiesus Falsch als "Letzteres" zumindest. KI ist eine Waffe und oder Werkzeug. Nichts sonst. Die Frage, warum, wofür und von wem sie auf PHP angesetzt wurde ist die Entscheidende.
Wie Mephisto schon sagte, nur umgekehrt nach dem Bla Bla:
"Ich bin ein Teil von jener Kraft,
Die stets das Böse will und stets das Gute schafft. ...
Ich bin der Geist, der stets verneint!
Und das mit Recht; denn alles, was entsteht,
Ist wert, daß es zugrunde geht;
Drum besser wär's, daß nichts entstünde.
So ist denn alles, was ihr Sünde,
Zerstörung, kurz das Böse nennt,
Mein eigentliches Element."
@AwetTesfaiesus Tja. Wir müssen den alten NS Begriff nicht mögen, aber trifft es schon ziemlich wieder, "Teil des Kulturkampfes". Und die Medien, grosse Teile, einberufen, wie man an der erstaunlich dummen wie einseitigen KI "Berichterstattung"sieht, die zu 90 Prozent nur die Darstellungen der entsprechenden Firmen multipliziert.
@AwetTesfaiesus ich würde sagen, beides.
Was vorher nur state actors vorbehalten war, ist jetzt automatisierbar.
Wo es vorher nur gezielt Angriffe gab, auch, um Exploits unter dem Radar zu halten, wird jetzt automatisiert sehr viel mehr angreifbar.
Vielleicht im Sinne von Gelegenheit macht Diebe?
@AwetTesfaiesus Ich sehe es ähnlich wie beim Klonen. Die Wissenschaft kann das seit Jahrzehnten und macht es nicht, weil es ethisch unzulässig ist. Wenn es dann doch gemacht wird, wird es gemeinsam verurteilt, also macht man es nicht. Bei der KI haben das nicht die Staaten untereinander geklärt, es wurde einfach gemacht und die Öffentlichkeit damit überrascht. Wir wurden überrumpelt.
@AwetTesfaiesus ich weiß nicht, was du genau damit meinst. Aber KI hat wohl geholfen den Bug zu finden UND auch die Bedrohung bei der VÖ des Patches vergrößert.
scheinbar fieberthermometer, bzw ganz direkt labortest zum nachweis spezifischer probleme aber (noch) nicht medizinlabor das gegenmittel erstellen kann. richtig interessant wird es wenn KI zum labor wird das ein gegenmittel produziert das keiner mehr versteht.
🤷
Am besten folgst du wahrscheinlich Informationsanbietern wie @heiseonline und @heisec um dich von den hiesigen Spezialisten in der Materie auf dem laufenden zu halten @AwetTesfaiesus !