
KI untergräbt beide Vulnerability-Disclosure-Kulturen
Auslöser des Beitrags ist die „Copy Fail"-Schwachstelle, die Anfang Mai 2026 publik wurde. Hyunwoo Kim meldete sie zunächst einem geschlossenen Linux-Security-Kreis und veröffentlichte nur den nackten Fix – klassisches Vorgehen der Linux-„Bugs are Bugs"-Kultur, bei der kein Aufsehen um die Sicherheitsrelevanz gemacht wird. Ein anderer Beobachter erkannte dennoch die Implikationen des Commits und machte sie öffentlich, womit das Embargo de facto beendet war. Parallel dazu meldete Kuan-Ting Chen dieselbe ESP-Schwachstelle unabhängig – nur neun Stunden nach Kim. Kaufman argumentiert, dass KI diese Dynamiken verschärft: Das Durchsuchen von Commits wird attraktiver, weil das Signal-Rausch-Verhältnis steigt, und KI-Modelle können Diffs bereits heute zuverlässig als Sicherheitspatches identifizieren. In einem eigenen Test erkannte Gemini 3.1 Pro den Patch sofort als Sicherheitsfix, ChatGPT Thinking 5.5 hielt es für wahrscheinlich, Claude Opus 4.7 war skeptischer. Kaufman sieht sehr kurze Embargos als pragmatischen Ausweg – und hofft, dass KI auch Verteidiger schneller machen kann, sodass selbst kurze Fenster noch sinnvoll nutzbar bleiben.
- Copy Fail-Schwachstelle: Kim teilte Fix mit geschlossener Linux-Security-Liste, ein Dritter erkannte Sicherheitsrelevanz und veröffentlichte sie.
- Kuan-Ting Chen meldete dieselbe ESP-Schwachstelle nur 9 Stunden nach Kim – unabhängig und KI-assistiert.
- KI-Test mit Commit f4c50a403: Gemini 3.1 Pro erkannte Sicherheitspatch sofort, GPT hielt es für wahrscheinlich, Claude eher nicht.
- Lange Embargos schaffen laut Kaufman falsche Nicht-Dringlichkeit und schränken den Kreis der Akteure ein, die an einem Fix arbeiten können.
- Kaufman plädiert für sehr kurze Embargos, die mit KI-Unterstützung für Defender trotzdem effektiv nutzbar bleiben sollen.
Frag die KI zum Artikel
Folgefragen zu Headline, Quelle und Volltext — Antwort streamt in wenigen Sekunden.
Verwandte Beiträge
- MEINUNGthe-decoder.com2w
KI wandelt Patches in funktionierende Exploits um – 90-Tage-Disclosure-Fenster unter Druck
- FORSCHUNGarxiv.org1d
Penetrationstests an proprietären KI-Agentensystemen zeigen bekannte Schwachstellen
- MEINUNGtechnologyreview.com3w
MIT Tech Review: Warum KI-Ära eine Neudenkung von Cybersecurity erzwingt

KI untergräbt beide Vulnerability-Disclosure-Kulturen
Auslöser des Beitrags ist die „Copy Fail"-Schwachstelle, die Anfang Mai 2026 publik wurde. Hyunwoo Kim meldete sie zunächst einem geschlossenen Linux-Security-Kreis und veröffentlichte nur den nackten Fix – klassisches Vorgehen der Linux-„Bugs are Bugs"-Kultur, bei der kein Aufsehen um die Sicherheitsrelevanz gemacht wird. Ein anderer Beobachter erkannte dennoch die Implikationen des Commits und machte sie öffentlich, womit das Embargo de facto beendet war. Parallel dazu meldete Kuan-Ting Chen dieselbe ESP-Schwachstelle unabhängig – nur neun Stunden nach Kim. Kaufman argumentiert, dass KI diese Dynamiken verschärft: Das Durchsuchen von Commits wird attraktiver, weil das Signal-Rausch-Verhältnis steigt, und KI-Modelle können Diffs bereits heute zuverlässig als Sicherheitspatches identifizieren. In einem eigenen Test erkannte Gemini 3.1 Pro den Patch sofort als Sicherheitsfix, ChatGPT Thinking 5.5 hielt es für wahrscheinlich, Claude Opus 4.7 war skeptischer. Kaufman sieht sehr kurze Embargos als pragmatischen Ausweg – und hofft, dass KI auch Verteidiger schneller machen kann, sodass selbst kurze Fenster noch sinnvoll nutzbar bleiben.
- Copy Fail-Schwachstelle: Kim teilte Fix mit geschlossener Linux-Security-Liste, ein Dritter erkannte Sicherheitsrelevanz und veröffentlichte sie.
- Kuan-Ting Chen meldete dieselbe ESP-Schwachstelle nur 9 Stunden nach Kim – unabhängig und KI-assistiert.
- KI-Test mit Commit f4c50a403: Gemini 3.1 Pro erkannte Sicherheitspatch sofort, GPT hielt es für wahrscheinlich, Claude eher nicht.
- Lange Embargos schaffen laut Kaufman falsche Nicht-Dringlichkeit und schränken den Kreis der Akteure ein, die an einem Fix arbeiten können.
- Kaufman plädiert für sehr kurze Embargos, die mit KI-Unterstützung für Defender trotzdem effektiv nutzbar bleiben sollen.
Frag die KI zum Artikel
Folgefragen zu Headline, Quelle und Volltext — Antwort streamt in wenigen Sekunden.
Verwandte Beiträge
- MEINUNGthe-decoder.com2w
KI wandelt Patches in funktionierende Exploits um – 90-Tage-Disclosure-Fenster unter Druck
- FORSCHUNGarxiv.org1d
Penetrationstests an proprietären KI-Agentensystemen zeigen bekannte Schwachstellen
- MEINUNGtechnologyreview.com3w
MIT Tech Review: Warum KI-Ära eine Neudenkung von Cybersecurity erzwingt