Sicherheitslücke bei PHP: KI kann auch eine Freundin sein

Die weltweite Sicherheitslücke bei PHP wurde erst dank KI entdeckt. Würde KI besonnen eingesetzt, könnte sie Daten schützen.

Die KI als Hilfe, mal ganz was neues

Foto: Annegret Hilse/Reuters

Das Problem ist riesig – und es liegt nicht bei der KI: Sicherheitslücken bei der Programmiersprache PHP betreffen Websites weltweit. PHP ist das technologische Fundament für einen Großteil der Webdienste, seine Schwachstelle hätte Einfallstor für Kriminelle werden können. In Gefahr wären dadurch nicht nur die Be­trei­be­r*in­nen der Websites, sondern auch alle Menschen, die dort Daten hinterlassen haben. Und die könnten erbeutet worden sein: E-Mail-Adressen, Passwörter, Kontodetails – sei es im Online-Shop oder bei einem Bürgerportal. Deswegen schalteten viele Be­trei­be­r*in­nen ihre Seiten ab und spielten Updates auf, die die Sicherheit wiederherstellen sollten.

Wenn Po­li­ti­ke­r*in­nen wie Marc Heinrichmann von der CDU, Vorsitzender des Parlamentarischen Kontrollgremiums für Geheimdienste, Alarm schlägt, liegt er nicht falsch. Wir stehen tatsächlich an einem „Wendepunkt“. Auch dass KI jene Schwachstellen, deren Ausnutzung bisher als unwahrscheinlich gegolten hatte, in kurzer Zeit zu „echten Einfallstoren“ machen würde, ist nicht verkehrt. Tatsächlich häuften sich die Angriffe auf Seiten extrem, nachdem die Sicherheitslücke bekannt geworden war. Vermutlich waren viele davon auch durch KI unterstützt. Doch die eigentliche Rolle dieser Technologie ist in dem Fall eine andere, eine positive: Es war eine KI, die angezeigt hat, wo das Problem liegt.

Denn aufgedeckt wurden die Lücken laut unabhängigen Cybersicherheitsfirmen mithilfe von KI. Ohne sie wäre es vermutlich nicht möglich gewesen, die Sicherheitslücke zu finden. Die Software, mit der wir in nahezu allen Bereichen des Lebens arbeiten, ist inzwischen so komplex und die Menge der Anwendungen so riesig, dass es schwerfällt, sie ohne eine KI zu sichten und zu untersuchen.

taz debatte

Die taz ist eine unabhängige, linke und meinungsstarke Tageszeitung. In unseren Kommentaren, Essays und Debattentexten streiten wir seit der Gründung der taz im Jahr 1979. Oft können und wollen wir uns nicht auf eine Meinung einigen. Deshalb finden sich hier teils komplett gegenläufige Positionen – allesamt Teil des sehr breiten linken Meinungsspektrums.

Die Lösung ist also nicht KI-Panik, sondern der besonnene Einsatz dieser Technologie. KI ist ein Werkzeug, das Kriminelle nutzen können. Aber ebenso auch all jene, die die Sicherheit unserer Daten wahren wollen – und damit unser Zusammenleben.

Comments

[Alex_der_Wunderer]

So richtig fies wird es aber erst, wenn Bagaluten die KI mit unrichtigen, also mit nicht auf Fakten basierenden Inhalte & Informationen " speisen "...

[Wuppi]

Die Informationen aus diesem Artikel sind wenn ich die Angaben der PHP Foundation lese, nicht korrekt (thephp.foundation/...ing-php-security/)



1. Die Lücke bzw. das generelle Problem wurde bereits 2024 entdeckt, aber aus Ressourcengründen und weil man sich nicht auf eine Lösung einigen konnte nicht gefixt!



2. Die KI Firmen sind auch hier nicht die „Guten“, sondern haben durch unverantwortliches Handeln die Informationen zu früh in die Öffentlichkeit kommen lassen und dadurch einen immensen Schaden verursacht, weil viel weniger Zeit zur Verfügung stand. Der Patch müsste dadurch einen Tag früher veröffentlicht werden und Personen und Staaten konnten die Lücke möglicherweise bereits ausnutzen. Das ist auch der Grund, warum viele Seiten sicherheitshalber abgeschaltet wurden!

[leonavis]

@Wuppi:

Soweit ich weiß, auch nicht ganz: Die Lücke wurde entdeckt, die Bedrohung aber als hypothetisch eingeschätzt, weil keinem eingefallen ist, wie sie ausnutzbar wäre. Die KI hat einen Weg gefunden, sie auszunutzen, allerdings wohl auch bei eher speziellen Umständen.

Zur Zeit ist nicht ganz klar, ob die Panik überhaupz begründet war/ist.

[Sikasuu]

Die weltweite Sicherheitslücke bei PHP wurde erst dank KI entdeckt.



-----



Ja VIELE technische Neuheiten können hilfreich sein, doch wir haben Probleme mit der "Technikfolgeabschätzung" & der Kommerzialisierung!



Das fing nicht mit den AKW's an. Kostengünstiger Strom, den es balb als Flatrate geben würde, weil über "Endlagerung" nicht mit erzählt wurde!



Schon beim Bergbau wurden "Ewigkeits-Lasten" nach einiger Zeit anders bewertet & jetzt "Vergesellschaften!



Btw. Über den Internethype will ich nur kurz reden. "Das demokratische Medium über alle Grenzen" ist zu einer Kommerzmaschine mutiert, deren Ziel heute Verkaufen, Überwachung, usw. ist & uns eine vorher "neue unbekannte Kriminalität" bescherte!



Genau das ist auch von KI/AI/Super Intelligenz zu erwarten!!! :-(



-



"Würde KI besonnen eingesetzt, könnte sie Daten schützen."



----



Glaubst Du noch an das GUTE im Menschen, denn damit immense Gewinne gemacht werden können?



Ich nicht mehr!



Wenn ich die letzten 100 J. überdenke, gingen fast alle "Entwicklungen" schief, ins Gegenteil! KI wohl auch! :-(



Ps. Ungezügelte GIER nach Gewinn verdirbt die Besten IDEEN. Sprich "Kapitalismus ohne Verantwortung"!



Schnell ändert sich das mMn. NICHT!

[rush hour]

"Denn aufgedeckt wurden die Lücken laut unabhängigen Cybersicherheitsfirmen mithilfe von KI. Ohne sie wäre es vermutlich nicht möglich gewesen, die Sicherheitslücke zu finden."

Das ist allerdings falsch. Diese zwei komplexen Speicher Sicherheitslücken waren seit etlichen Jahren den Entwicklern bekannt, aber noch nicht angegangen, weil nicht zu befürchten war, dass diese von Angreifern nutzbar zu verwenden seien.



Das hatte sich mit KI geändert, wie dann eine Cybersicherheitsfirma durchexerziert hatte.



Daraufhin wurde man aktiv.

Noch etwas zum Verständnis:



Dynamische Webseiten die mit PHP geschrieben wurden liegen auf Servern, die meistenteils von Hostern angemietet werden.



Die Hoster updaten regelmäßig die von ihnen zur Verfügung gestellten PHP Versionen (die gegenwärtig noch mit Updates versorgt werden). Aktuell sind das die Versionen 8.2 (läuft Ende des Jahres aus), 8.3, 8.4 und 8.5.

Der Betreiber der Webseite (oder dessen Webmaster) schreibt seine Seiten dann auf Grundlage einer dieser Versionen, die er beim Hoster auswählen kann. Neuere Versionen Bedeuten Anpassungen der Sprache. Faulheit führt zum Gebrauch alter Versionen und Problemen. Das ist das eigentliche Manko i.A.

[economista]

@rush hour:

Viele private Sites laufen auf komplett vom Webhoster administrierten Servern, ja. Dort werden aber auch ältere PHP-Versionen regelmäßig aktualisiert, ohne dass Betreiber von Sites irgend etwas anpassen oder umschreiben müssten. Mit Systemen wie WordPress oftmals selbst beim Wechsel der PHP-Version nicht.

Fortgeschrittene Konfigurationen sind jedoch in der Regel nur bei selbst administrierten Servern möglich. Ab etwa 5€ im Monat kann man sich beispielsweise eine Linux VM mieten, die dann mehrere eigene Sites hostet. Mit drei Unix-Kommandos ist ein Sicherheitspatch aktiviert, also kein großer Aufwand.

Aber selbst wenn man PHP regelmäßig aktualisiert, bleibt der Webserver ein Einfallstor für potentielle Angriffe. Deshalb sollten Firmen, oder auch Behörden, die Sicherheit priorisieren, sensible Daten nicht auf dem Webserver verwalten. Sondern einem getrennten Server und vom Webserver aus hinter einem Firewall. Leider scheinen selbst Bundesländer wie Berlin solche grundlegenden Sicherheitskonzepte nicht immer umzusetzen. Und wundern sich dann über Terabytes von Datenklau.

[economista]

Mir fällt keine andere Programmiersprache ein, die so oft wegen gravierender Sicherheitslücken im Gerede war, wie PHP. Perl vielleicht, als es noch in Websites gebräuchlich war. Deshalb: Websites mit PHP sollten auf einem getrennten Server laufen, auf dem sich keine Datenbanken mit Firmendaten befinden und der keinen unbeschränkten Zugriff aufs Firmennetzwerk hat.

[Algernoon]

@economista:

PHP ist typischerweise gedacht, Logins, Artikel-Infos, usw auszuliefern. Wenn PHP kein Datenbankzugriff hat, ist PHP funktionslos. Das nennt man das Kind mit dem Bade ausschütten. Und 99% der Sicherheitslücken haben nichts mit der Sprache zu tun.

[economista]

@Algernoon:

CMS wie WordPress bündeln die Prozesse für den Webserver und die Datenbank mit den Inhalten in der Regel auf dem gleichen Host. Das heißt aber noch lange nicht, dass ich als Betreiber die Datenbank mit den Kundenadressen und andere sensible Firmendaten auf dem Webhost vorhalte, damit sich Hacker gleich einen Dump im Schnelldurchgang downloaden können. Sondern auf den Webhost gehören Prozesse, Datenbanken und Skripte für die Seiteninhalte.

Es sind im Übrigen nicht nur Programmiersprachen wie PHP, sondern auch darin geschriebene Skripte, die Exploits möglich machen. Deswegen sollten Sicherheitsarchitekturen den Webhost als potentielles Einfallstor für Angriffe betrachten und in einer getrennten Umgebung betreiben.

[Albert Rumm]

Also, die KI hat eine Sicherheitslücke gefunden, die wir ohne KI (laut Aussage des Artikels) vermutlich nie gefunden hätten... die Situation ist also gleich, wie sie ohne KI gewesen wäre. Ausser natürlich, dass wir auf dem Weg in Richtung Klimakollaps nochmal einen Gang hochschalten.

[Claus Stark]

Was auch bedenkenswert ist: Sehr viel Software wird oft von unbezahlten Freiwilligen erstellt, deren Hauptaugenmerk dann natürlich auf Funktionalität liegt. In einem solchen Kontext ist es kein Wunder, wenn sich Fehler und Schwachstellen in die Software einschleichen, die dann irgendwann entdeckt und ausgenutzt werden können. Hier wäre eine Ergänzung durch Professionals sinnvoll, die dann die Softwarepakete fachkundig inspizieren würden.

[Sikasuu]

@Claus Stark:

Sehr viel Software wird oft von unbezahlten Freiwilligen erstellt, deren Hauptaugenmerk dann natürlich auf Funktionalität liegt.



----



Open Source ist NICHT fehleranfälliger als proprietäre Soft!



Im Gegenteil!



Bei der 1. Soft (mit offenem Quellcode) werden Fehler fast IMMER schneller gefunden & gefixt!



Btw. Unser KOMPLETTE IT-Software-Architektur baut auf "freiwilliger offener Arbeit" an Unis & kompetenten Programmierern auf. Fast alle Programmiersprachen, die Libs, dazu, selbst die 1. Entwicklungen des "INTER-NET's" alles s.o.



Ist dir bekannt, das IO's das berühmte Appel-OS nicht patentiert werden kann?



Geht nicht weil es aus BSD 4.x (1), aufbaut, heute den BSD- Zweig noch nutzt. Ist ein UNIX, das du Kostenlos im Original im Netz bekommst!



MS$ hat große Teile, Netzanbíndung, uvam., aus open source übernommen. Nicht nur die Werkzeuge, (Programmiersprachen) sonder ganze ausgereifte Entwicklungsideen, ohne das IT nicht ging!



Doch "Geschichte" sogar IT-Geschichte ist HEUTE "nicht mehr interessant".



Ps. Das WIR "Zwerge auf den Schultern von Riesen, aus der Vergangenheit stehen" soll, oder besser will niemand mehr wissen! :-(

(1) de.wikipedia.org/w...S_(Betriebssystem)

t

[sailaway]

@Sikasuu:

Sie verwechseln wohl Patentrecht mit Urheberrecht!

Dass iOS auf Unix basiert, ändert erstmal gar nichts daran, dass der Code über das Urheberrecht geschützt ist.

Die freie BSD-Lizenz erlaubt ausdrücklich die kommerzielle Schließung des Codes. Und Apple besitzt diverse exklusive Urheberrechte auf iOS und MacOS.

[Sikasuu]

@sailaway:

Sie verwechseln wohl Patentrecht mit Urheberrecht!



----



Ne, mein Ausgangstext scheitert an der "Unübersetzbarkeit" zw. "Copyright Urheberrecht".



Deshalb finden wir auch HEUTE noch in jedem IOs den u.a. Text:



"Copyright (c) ...



The Regents of the University of California. All rights reserved. ... "



Will nicht lange diskutieren, aber schau mal in den u.a. Link! Da werden Sie geholfen! :-)



de.wikipedia.org/wiki/BSD-Lizenz

[sailaway]

@Sikasuu:

Ja genau, der Vermerk muss laut BSD-Lizenz zwingend drinstehen. (de.wikipedia.org/wiki/BSD-Lizenz: "Einzige Bedingung ist, dass der Copyright-Vermerk des ursprünglichen Programms nicht entfernt werden darf. Somit eignet sich unter einer BSD-Lizenz stehende Software auch als Vorlage für kommerzielle (teilproprietäre) Produkte.")

Das ist aber kein Widerspruch, denn Apple muss den alten Urheberrechtshinweis zwar nennen, darf den modifizierten Code danach aber komplett schließen und kommerzialisieren und besitzt daran natürlich eigene Urheberrechte.

[sailaway]

@Claus Stark:

Mehr Professionals einzustellen, ist m.E. zu kurz gedacht. Das Problem ist doch die rücksichtslose Profitgier der IT-Milliardenkonzerne. Diese scheffeln astronomische Gewinne, setzen ihre Infrastruktur aber parasitär auf unbezahlten Ehrenämtlern der Open-Source-Community (wie PHP) auf. Die Lösung sind daher nicht noch mehr Profis im Dienst des Kapitals, sondern möglicherweise eher die Vergesellschaftung dieser Infrastruktur. Man müsste den Code als öffentliches Gut betrachten, welches demokratisch abgesichert wird, statt die Kontrolle restlos den unregulierten Tech-Monopolisten zu überlassen.

[Janix]

Ist "Freund(in)" hier anthropomorph angebracht? KI kann Unterstützung sein, für eine(n) selbst, aber auch der Dietrich der Diebsperson. Und mit Freundschaft ist beides nicht gleichzusetzen.

Mit der KI angemessen und anpackend leben, das Plädoyer hat Autor Gunter Dueck frisch veröffentlicht. Wie bei anderem auch, hilft es, die Stärken und Schwächen wahrzunehmen.

[Dodoist]

Für mich ist das Problem, das ich mich der Zwangsdigitalisierung nicht mehr entziehen kann. Rechnungen müssen! ab 1.1.27 als E-Rechnungen gestellt werden, sprich man kommt um die Anbindung ans Internet nicht mehr herum. Das dabei ein Das dabei ein potentieller Angriff nicht mehr durch Abschottung vereitelt werden kann ergibt sich . Das Geschwätz von Technologieoffenheit der politischen Kaste ist genau dies.



Wenn ich einen gross teil meiner Arbeitszeit auf IT-Sicherheit verschwenden soll geht das zu lasten der Produktivität.

[Mondschaf26]

@Dodoist:

Der digitale Overhead geht nicht nur zu Lasten der Produktivität.



Mehr als 50 Jahre hatten EDV/IT eine dienende, helfende Funktion. Seit Verbreitung der Smartphones hat sich das Verhältnis Mensch/Maschine umgekehrt und Anwender:innen sind Bio-Apps ihrer Taschencomputer.

[Quadrelli]

KI hat die Lücke gefunden. Und die Lücke wurde leider sehr schnell von Menschen veröffentlicht, so dass die Reaktionszeit für viele zu kurz gewesen sein wird.

Man wird erst in Tagen oder Wochen sehen, wo überall Hacker eingedrungen sind, da diese schlauerweise, erst einmal drin, zunächst mal stillhalten werden und auf das Einspielen des Patches und damit vermeintlicher Sicherheit warten werden.

[Heho]

KI ist genauso wenig eine Freundin wie Java, Prolog oder PHP. Das sind Werkzeuge, genau wie Auto, Brotmesser oder Atomkraft. In den falschen Händen ist es Mist und definitiv kein Mensch.

[Jörg Schubert]

@Heho:

Ganz richtig. Die Schwierigkeit ist aber etwa so: Wenn Java ein Brotmesser ist, ist KI ein Schweizer Taschenmesser mit 5000 Klingen.



Dieses "richtig" einzusetzen ohne sich und andere dabei zu verletzen, erfordert erheblichen Lernaufwand + verantwortliches Handeln..

[Westlahn]

Ok. Schön dass die Sicherheitslücke in PHP geschlossen wurde. Kann sein, dass es sie gibt, bzw gab. Aber in 2 Jahrzehnten, die PHP für Webanwendungen genutzt wurde, hat niemand diese Lücke entdeckt und genutzt -wenn man den jetzigen Verlautbarungen glauben darf.



Aber etwas ist seltsam, einen kritischen Gedanken wert: KI steht in der Kritik, wird als grosses existentielles Risiko gesehen. Soll sogar große Teile der Menschheit auslöschen können. Es werden Forderungen nach Regulierung, Begrenzung, Verboten ernster genommen.



Und ausgerechnet jetzt, wo es für die KI-Tech-Konzerne am dringendsten gebraucht wird, kommt diese Geschichte, dass die KI eine weltweite Bedrohung für Abermillionen Webseiten entdeckt und bekämpft hat.



Bin ich der einzige, dem da der Gedanke kommt: cui bono. Es ist sehr mächtigen Menschen zum genau richtigen Zeitpunkt extrem nützlich...Zufall.????!!!!

[Janix]

@Westlahn:

Etwas niedriger hängen, womöglich: Dass die Firmen dies von ihren Pressestellen mal gut und laut gespielt haben. Die haben nämlich Probleme mit Strom, Wasser, Kapital. So energieeffizient wie Gehirne sind Schaltkreise leider noch nicht.

Die KI-Apokalypse-Sprüche, kommen die nicht vor allem von den Firmenchefs oder -unterchefs selbst?

[Westlahn]

@Janix:

Ja, aber warum? Zum einen wohl, weil diese Chefs genug Phantasie haben, zu erkennen, was passieren kann oder wird, wenn dieses Wettrennen genau so abläuft wie das bei der Atomrüstung....



Zum anderen, weil sie erkannt haben, dass sie selbst sich dann nicht mehr so von den Folgen in Villen, hinter Sicherheitsdiensten und auf Inseln isolieren können und das privilegierte Leben auch für ihre Kinder ungestört weiter geht. Denen geht schlicht die Muffe. Sie gehen buchstäblich auf Distanz. Hawaii. Argentinien. Neuseeland. Nur möglichst weit weg.

[sollndas]

@Janix:

"So energieeffizient wie Gehirne sind Schaltkreise leider noch nicht."



Vorsicht mit solchen Aussagen. Das menschliche Gehirn hat einen Leistungsbedarf von ca. 25 Watt.

[Westlahn]

@sollndas:

Und mit diesem Gehirn fahren die allermeisten Autos ganz problemlos in Stadt und Land herum. Vergleichen Sie das mit dem Energieverbrauch der KI , die nötig ist , um ein "autonom" fahrendes Auto ein paar Stunden zu bewegen. Falls "autonom" dafür nicht das Propagandamärchen des Jahrzehnts ist . Das menschliche Gehirn schafft das buchstäblich (!) für nen Appel unn nen Ei.

[Jörg Schubert]

@sollndas:

Gut beobachtet. Soweit mir bekannt, kann das auch deutlich mehr sein, wenn man die Birne wirklich mal benutzt :-). Und diese 25 Watt werden mit sehr teurem Treibstoff versorgt.

[Besorgte_Bürger]

Das ist alles richtig. Richtig ist aber auch, dass auch Black Hats KI nutzen können.

Insofern relativiert sich die Euphorie für mich wieder ein wenig.

[Evi Holtendorp]

@Besorgte_Bürger:

Deshalb steht ja auch im Artikel "KI ist ein Werkzeug, das Kriminelle nutzen können." Und noch einige Sätze mehr in dieser Richtung. Insofern konnte ich in diesem Artikel auch keine Euphorie erkennen, allerdings schon eine relativierende Tendenz, die mir so nicht gefällt.



Wenn man sagt: es ist wie immer - die Bösen suchen nach Fehlern, um uns zu schaden, gleichzeitig suchen die Guten danach, um uns zu schützen, nur jetzt beide mit KI, bleibt unerwähnt, daß das Ausnutzen eines solchen Fehlers oft viel einfacher und schneller zu bewerkstelligen ist als dessen Behebung.

[Besorgte_Bürger]

@Evi Holtendorp:

Ich hasse es, wenn Artikel durch irgendwelche inhaltsfremden Elemente unterbrochen werden. Ich dachte, der Artikel wäre beendet, daher habe ich den letzten Absatz nicht mehr gelesen.

[Westlahn]

@Evi Holtendorp:

Die Behebung der Sicherheitslücke soll ja schon fertig sein. Und das Update für den Schutz bereit stehen.

[Evi Holtendorp]

@Westlahn:

In einer kleinen feinen Zeitung aus Berlin lese ich heute: "Die PHP-Lücke ist geschlossen, aber damit ist die Gefahr nicht weg: Hacker könnten sich vor dem Update eingenistet haben."



Außerdem ist es nicht in jeder Umgebung möglich, solche Updates sofort einzuspielen. Das muß oft erst in abgesicherten Systemen getestet werden, weil vieles so komplex ist, daß die Auswirkungen nicht 100%ig zu überschauen sind.



Und wenn PHP fast überall verwendet wird, sind das viele verschiedene Umgebungen mit vielen verschiedenen Variablen. Daß z.B. Windows-Updates immer mal wieder zu Problemen bei manchen führen, liegt ja nicht daran, daß Microsoft sie nicht vorher testen würde, sondern eben an den extrem vielen unterschiedlichen Bedingungen, unter denen es ausgeführt wird.



usw.

[Janix]

Naja, die gute KI muss der bösen einen Schritt voraus sein. Sonst ist es genau andersherum und explodieren die Exploits.

Und KI-geschriebener Code sollte auch besser noch mal gecheckt sein.

[sailaway]

@Janix:

Guter Punkt. Das Problem an der Sache war nur, dass die PHP-Lücke so komplex war, dass kein menschliches Gehirn diese logische Kette in den letzten 10 Jahren begriffen hat. Wenn wir an den Punkt kommen, an dem nur noch eine KI die Fehler einer anderen KI (oder die Fehler von Menschen) verstehen und finden kann, ist das leider fast schon illusorisch dass der Mensch die letzte Kontrolle über den Code vornehmen muss, da er es je nach Fall schlicht nicht mehr kann.

Und wenn ich eine KI brauche, um die Fehler einer anderen KI überhaupt zu entdecken, kontrolliere ich nicht mehr den Code.

[Jörg Schubert]

@sailaway:

" Das Problem an der Sache war nur, dass die PHP-Lücke so komplex war, dass kein menschliches Gehirn diese logische Kette in den letzten 10 Jahren begriffen hat."

Das stimmt so nicht. Mögliche Risiken in der Speicherverwaltung waren bekannt. Es ist nur ziemlich aufwendig, diese Probleme für einen Einbruch "nutzbar" zu machen. Es gibt auch keine "logische Kette", sondern lediglich eine Strategie, mit ein paar 1000 Web-Zugriffen genau die Konstellation im Speicher zu erzeugen, die dann einen Einbruch ermöglicht. Das geht ohnehin nur mit Angriffscode.



Will man so einen Einbruch von Hand durchführen, würde man Wochen damit verbringen, "Probiercode" zu schreiben und beobachten, wie PHP reagiert. Und dabei nie wissen, ob es wirklich erfolgreich sein wird.



Lässt man eine KI das machen, kostet es keine persönliche Zeit. Die Vorgehensweise ist aber die selbe. Der Auftrag lautet "probiere, beobachte dabei im Innern von PHP was passiert - notfalls mit Debugger".



(Genauer will ich jetzt nicht erklären, wie so etwas geht. Jeder erfahrene Programmierer sollte das ohnehin wissen ;-). )

[sailaway]

@Jörg Schubert:

Zu wissen, dass die Speicherverwaltung von PHP Risiken birgt, ist so als würde man feinsinnig anmerken, dass Brücken grundsätzlich einstürzen können. ;)

Ihr Denkfehler liegt in der Annahme, eine KI würde das System bloß durch stumpfes zeitsparendes Ausprobieren irgendwann knacken. Moderne KI rät aber nicht per Trial-and-Error im Debugger. Sie nutzt mathematische Mustererkennung, um komplexe logische Zusammenhänge im Quelltext aufzudecken.



Genau diese mathematisch präzise Analyse ist die „logische Kette“ die Sie bestreiten. Wer das mit dem bloßen Abfeuern von ein paar Tausend Web-Zugriffen verwechselt, versteht den Unterschied zwischen Software-Architektur und stumpfer Brute-Force-Automatisierung nicht.

Aber gut dass Sie uns die Details ohnehin nicht genauer erklären wollten. :)

[Sikasuu]

@sailaway:

Und wenn ich eine KI brauche, um die Fehler einer anderen KI überhaupt zu entdecken, kontrolliere ich nicht mehr den Code.



-----



Wir sind mMn. schon ÜBER diesen Punkt hinaus! Oder wie willst die "Ausbrüche" aus abgeschirmten Testumgebungen anders erklären?



Als Alternative käme NUR in Frage, dass einige Firmen in U-SA BEWUSST mit der Sicherheit des Inter-Nets & deren Nutzer "spielen" & DAS tut mMn. kein Verantwortungsvoller CEO!



Oder DOCH????

[Jörg Schubert]

@Sikasuu:

"Und wenn ich eine KI brauche, um die Fehler einer anderen KI überhaupt zu entdecken, kontrolliere ich nicht mehr den Code."

Es ist anders herum. Man braucht die KI nicht unbedingt zur Kontrolle von Code. Aber wenn man sie nicht dazu einsetzt, hat man kaum Mehrwert durch KI-Einsatz.



Und es funktioniert sehr gut wenn man bekannte "Gedächtnislücken" der KI ausnutzt. Startet man den Prüfauftrag in einem anderen Kontext, erinnert sich der Agent nicht mehr an die Fehler, die er beim Programmieren gemacht hat.



Menschliche Programmierer können so etwas nicht. Die müssen einen Kollegen fragen, um den Code checken zu lassen.

[sailaway]

@Sikasuu:

Diese "Ausbrüche" basieren eher auf banalen Programmierfehlern. Die KI ist da nicht ausgebrochen, weil CEOs damit gespielt haben, sondern weil die Sandboxes (Testumgebungen) von Menschen schlampig programmiert wurden. Die KI nutzt diese Logikfehler im System dann aus.



Aber schön, dass Sie sich an ein naives Konzept von Gut und Böse klammern. Dem IT-Kapitalismus ist die Moral einzelner Manager nämlich völlig egal, das System zwingt sie zur rücksichtslosen Profitmaximierung. Geld und Energie fließt fast ausschließlich in gewinnbringende Releases und Features während die Absicherung digitaler Infrastruktur, i.d.R. Open Source, wegrationalisiert ist. Nennt man strukturelles Marktversagen, nicht?

[Sikasuu]

@sailaway:

Aber schön, dass Sie sich an ein naives Konzept von Gut und Böse klammern. Dem IT-Kapitalismus ist die Moral einzelner Manager nämlich völlig egal, das System zwingt sie zur rücksichtslosen Profitmaximierung.



----



Das hast Du aber "schön" gesagt! :-( Kannst Du das auch mit etwas weniger Polemik?



Ich "klammere" mich nicht an das "naive Konzept von gut & Böse".



Setze da mehr auf das Rechtskonzept "von Haftung & Verantwortung" für Produkte die jemand aus "Gewinninteresse" in den Markt "lassen" will!



Das scheint nicht nur in der Softwareindustrie in U-SA komplett aus dem Ruder gelaufen zu sein.



D.h. wenn Du auch mal genauer hinschaust, das "Produkte" erst im Markt ihre "Schädlichkeit" zeigen müssen, nachdem sie nicht mehr rückabzuwickelnde Schäden verursachten!



Beispiele gefällig?



PCB, Agent Orange ff, Fentanyl, uvam."



Das oben nicht "MS$", AI/KI, "soziale Medien, uvam. aus der Softwareproduktion & Anwendung angeführt sind, wird Dir einleuchten. Denn diese Branche ist von o.a. Haftung mWn. komplett ausgeschlossen. :-(



Profimaximierung = GIER ist nicht nur die Grundlage von IT/KI Standard & Gedanken an Haftung scheinen in U-SA nicht mehr zu existieren! :-(