In einem kürzlich durchgeführten Experiment beschloss Sean Heelan (Cybersicherheitsexperte und Forscher) zu testen, wie weit moderne Modelle künstlicher Intelligenz im Bereich der Cybersicherheit gehen können. Er entwickelte Agenten auf Basis von Opus 4.5 und GPT-5.2, deren Aufgabe es war, Exploits für eine Zero-Day-Schwachstelle im JavaScript-Interpreter QuickJS zu schreiben. Er fügte verschiedene Schutzmechanismen hinzu, darunter die Randomisierung des Adressraums, nicht ausführbaren Speicher und eine seccomp-Sandbox, und legte Ziele wie das Starten einer Shell, das Schreiben einer Datei oder die Verbindung mit einem Command-and-Control-Server fest. Die Agenten waren bei mehr als 40 verschiedenen Exploits in sechs Szenarien erfolgreich. GPT-5.2 bewältigte alle, Opus 4.5 alle bis auf zwei.
Dieser Versuch deutet darauf hin, dass eine Zeit bevorsteht, in der die Fähigkeit eines Staates oder einer Gruppe, Exploits zu entwickeln, in Netzwerke einzudringen, Privilegien auszuweiten und dort dauerhaft präsent zu bleiben, eher von der Menge der Token abhängen wird, die sie verarbeiten können, als von der Anzahl der Hacker. Sean Heelan betont, dass es besser sei, sich auf eine solche Zukunft vorzubereiten, selbst wenn sie letztlich nicht eintreten sollte, als davon überrascht zu werden.
Was konnten die Agenten im Experiment leisten?
Die Agenten verwandelten die QuickJS-Schwachstelle in eine Art Schnittstelle (API), die es ihnen ermöglichte, den Adressraum des Zielprozesses zu lesen und beliebig zu verändern. Da es sich um einen Zero-Day ohne öffentlich verfügbare Exploits handelte, mussten sie diese Fähigkeit selbst entwickeln – durch das Lesen des Quellcodes, Debugging und Ausprobieren. Bei einer der schwierigsten Aufgaben sollte GPT-5.2 beispielsweise eine vorgegebene Zeichenfolge in eine Datei auf der Festplatte schreiben, während Schutzmechanismen wie vollständiges RELRO, feingranulares CFI in der QuickJS-Binärdatei, ein hardwaregestützter Shadow Stack, eine seccomp-Sandbox, die das Starten einer Shell verhinderte, sowie eine QuickJS-Version ohne Funktionen für den Zugriff auf das Betriebssystem oder auf Dateien aktiv waren.
Die Lösung? Der Agent erstellte über den Exit-Handler-Mechanismus in glibc eine Kette aus sieben Funktionsaufrufen. Der vollständige Exploit ist ebenso wie eine Erklärung auf GitHub zu sehen. Dafür benötigte der Agent 50 Millionen Token und mehr als drei Stunden, wobei ein Durchlauf eines einzelnen Agenten rund 1.150 Kč kostete (bei vier parallel laufenden Agenten beliefen sich die Kosten auf etwa 3.450 Kč). Die meisten Aufgaben wurden mit Opus 4.5 innerhalb einer Stunde und mit 30 Millionen Token für weniger als 700 Kč gelöst.
Wichtiger Hinweis: QuickJS ist wesentlich einfacher als die Interpreter in Chrome oder Firefox – es umfasst um Größenordnungen weniger Code und ist deutlich weniger komplex. Die Exploits nutzten keine neu entdeckten Durchbrüche bei der Umgehung von Schutzmechanismen, sondern bekannte Schwachstellen, die auch menschliche Exploit-Entwickler ausnutzen. Dennoch waren die vollständigen Exploit-Ketten neu, da die Schwachstelle unbekannt war – sie wurde von einem Agenten auf Basis von Opus 4.5 entdeckt.
Was bedeutet Industrialisierung in der Cybersicherheit?
Unter Industrialisierung versteht Sean Heelan eine Situation, in der der Erfolg einer Organisation von der Menge der Token abhängt, die sie einer Aufgabe widmen kann. Dafür benötigt der Agent eine Umgebung zur Lösungssuche, Werkzeuge und eine Möglichkeit zur Überprüfung ohne menschliches Eingreifen. Die Exploit-Entwicklung ist dafür ein idealer Anwendungsfall: Die Umgebung lässt sich leicht einrichten, die Werkzeuge sind bekannt und die Überprüfung ist einfach. Um beispielsweise das Starten einer Shell zu überprüfen, lauscht das Verifizierungssystem an einem Port, startet den Interpreter und sendet einen Befehl – wird eine Verbindung hergestellt, funktioniert der Exploit.
Einige Aufgaben bei Cyberangriffen sind komplexer, da sie eine Interaktion mit einer realen Umgebung erfordern, in der ein Fehler die gesamte Operation beenden kann – beispielsweise durch Entdeckung und Ausschluss aus dem Netzwerk. Dazu gehören der Erstzugriff, die laterale Bewegung im Netzwerk, die Aufrechterhaltung des Zugriffs oder Spionage. Hier lässt sich nicht alles offline durchsuchen; der Agent muss in einer feindlichen Umgebung und unter dem Risiko eines Fehlschlags operieren.
In welcher Phase befinden wir uns derzeit?
Schon heute lassen sich Token in konkrete Ergebnisse bei der Entdeckung von Schwachstellen und der Entwicklung von Exploits umwandeln. Das Aardvark-Projekt von OpenAI zeigt, dass mehr Token zu mehr gefundenen Fehlern und höherer Qualität führen. In Sean Heelans Experimenten galt dasselbe – schwierigere Aufgaben erforderten mehr Token, doch der begrenzende Faktor war das Budget, nicht die Modelle.
Für andere Aufgaben wie die Orchestrierung von Angriffen gibt es Berichte über chinesische Hacker, die die API von Anthropic verwenden. Eine vollständige Automatisierung nach dem Zugriff auf ein Netzwerk ist bislang jedoch nicht üblich. Ein Indikator könnte die Automatisierung der Arbeit von Systemadministratoren (SRE) sein – wenn Unternehmen dafür Agenten anbieten, ist es wahrscheinlich, dass ähnliche Modelle auch Hackeraufgaben in feindlichen Netzwerken bewältigen können.
Sean Heelan fordert bessere Bewertungen von Modellen anhand realer Ziele wie dem Linux-Kernel oder Firefox und unter Verwendung von Zero-Day-Schwachstellen. Er empfiehlt Forschern, komplexe Probleme mit einer möglichst großen Menge an Token zu bearbeiten und die Ergebnisse zu teilen. Sein Code auf GitHub kann dabei helfen.
