Dank KI: Mozilla schließt 423 Sicherheitslücken in Firefox – nur im April 2026

Danke @Sören

Hab schon auf solch einen Artikel von dir gewartet, nachdem ich gestern den Artikel https://www.heise.de/news/Dank-KI-I…n-11287023.html bei Heise las.

Vermutlich wird es in der nächsten Zeit noch einige solcher Häufungen gefundener und gefixter Lücken geben, bis die Sourcen an sich signifikant fehlerfreier sind als noch vor kurzer Zeit. Der Trend ist m.E. positiv.

Vermutlich wird es auch deswegen in Zukunft mehr Firefox-Updates als bisher geben. Aber das ist ein Artikel-Thema für morgen.

423 Fehler? Schon irre, oder? Scheint aber normal zu sein und betrifft nicht nur den Firefox, sondern sicher alle Browser. Finde ich aber gut, wenn das der Sicherheit dient....

Zitat von Foxxiator

... und betrifft nicht nur den Firefox, sondern sicher alle Browser.

prinzipiell sogar sämtliche Software.
Unbekannt ist nur, welcher Anbieter wie schnell a) Zugriff auf solche Tools hat, b) wie schnell davon Gebrauch macht und c) wie (transparent) die Ergebnisse dann kommuniziert werden.

Das ist natürlich erst einmal schön und erfreulich. Aber man sollte bedenken, dass auch die "Gegenseite" über diese Tools verfügt bzw. verfügen wird. Das ist ein entscheidender Wendepunkt bei der Beurteilung von Code-Qualität und Cybersicherheit. Eigentlich müsste jedes noch so kleine (OpenSource-) Programm vor der Freigabe oder Update mit der KI-Anwendung überprüft werden, was so aber wohl nicht vorgesehen ist, da aus Sicherheitsgründen bis jetzt nur eine Handvoll Firmen/Projekte das Tool nutzen kann. Außerdem ist es nur eine Frage der Zeit, bis andere KI-Modelle diese Übung genauso gut oder sogar besser hinbekommen. Es bleibt wohl bis auf weiteres ein Hase/Igel-Rennen.

Leider führt die eigentlich faszinierende Technik "KI" immer mehr dazu, dass man nichts und niemandem mehr vertrauen kann. Beispiele: Texte, Bilder, Audio-Aufnahmen, Videos, Programme(!). Das passiert auf einem gänzlich anderen Level als es früher schon der Fall war. Jedes Kind kann mittlerweile ein paar Stichworte in ein LLM eintippen und bekommt dann extrem überzeugende Ergebnisse, die mehr als brauchbar sind. Was das mit den Menschen in Zukunft machen wird, möchte ich mir momentan gar nicht vorstellen...wahrscheinlich ein ganz neues Verständnis von dem, was man noch für real und vertrauenswürdig hält?!

Zitat von BrokenHeart

Aber man sollte bedenken, dass auch die "Gegenseite" über diese Tools verfügt bzw. verfügen wird. Das ist ein entscheidender Wendepunkt bei der Beurteilung von Code-Qualität und Cybersicherheit. […] Es bleibt wohl bis auf weiteres eine Hase/Igel-Rennen.

Das ist zwar richtig, vor allem für Entwickler mit wenig Ressourcen und Erfahrung. Aber für Browserhersteller wie Mozilla ist das ein absoluter Game-Changer im positiven Sinne. Denn bisher war das Schließen von Sicherheitslücken häufig ein Reagieren. Jetzt gibt es die Technologie, die es erlaubt, deutlich mehr Schwachstellen proaktiv zu entdecken und zu beheben, d.h. bevor diese überhaupt in einem finalen Produkt ausgeliefert werden. Das bringt dem Angreifer dann auch nichts, wenn er Zugriff auf solche Tools hat, wenn die jeweilige Schwachstelle zu dem Zeitpunkt gar nicht mehr existiert.

Die zahlreichen Sicherheitslücken, die zuletzt geschlossen worden sind, waren teilweise schon seit langer Zeit vorhanden. So hat Mozilla unter anderem zwei Schwachstellen als Beispiel genannt, welche bereits 15 respektive 20 Jahre lang in Firefox vorhanden waren und weder von Menschen noch von anderen genutzten Sicherheits-Tools gefunden wurden. Das heißt, in dieser Phase wird auch noch viel reagiert. In Zukunft werden damit aber Sicherheitslücken von Anfang an verhindert, die sonst erst viel später, falls überhaupt, erst entdeckt worden wären. Und Mozilla hat bereits angekündigt, sogar noch einen Schritt weiter gehen zu wollen. Bereits in naher Zukunft sollen KI-Checks unmmittelnbar nach der Integration von neuem Code automatisch erfolgen und Schwachstellen so noch früher im Prozess aufgedeckt werden.

Zitat von Sören Hentzschel

Jetzt gibt es die Technologie, die es erlaubt, deutlich mehr Schwachstellen proaktiv zu entdecken und zu beheben, d.h. bevor diese überhaupt in einem finalen Produkt ausgeliefert werden. Das bringt dem Angreifer dann auch nichts, wenn er Zugriff auf solche Tools hat, wenn die jeweilige Schwachstelle zu dem Zeitpunkt gar nicht mehr existiert.

Ich hatte ich ja geschrieben, dass bei jeder Code-Änderung in Zukunft ein solches Tool eingesetzt werden muss(!), da man sonst mit geradezu absoluter Sicherheit die Schwachstelle in Form eines Exploits wieder um die Ohren gehauen bekommt. Mozilla ist da JETZT noch in einer komfortablen Position. Aber man sollte eben auch die Aufmerksamkeit auf die vielen kleinen Anbieter/Entwickler von Softwareprodukten richten, die sich nicht in dieser privilegierten Position befinden. Ob jetzt mein Rechner über einen Fehler im Firefox oder z.B. Notepad++ übernommen wird, ist mir als Anwender dann letztendlich auch egal. Es muss sich in der gesamten Softwareentwicklung was verändern, sonst sind z.B. sehr viele kleine OpenSource-Projekte tot.

Das würde ich auf beliebige Software-Projekte bezogen nicht überdramatisieren, dass die „tot" wären, wenn sie solche Tools nicht einsetzen. Zumal solche Tools ja nicht nur von den Herstellern selbst sowie Angreifern eingesetzt werden, sondern auch von Menschen, die Sicherheitslücken suchen, damit diese behoben werden. Mozilla schreibt auch, dass die Anzahl extern eingereichter Meldungen von Sicherheitslücken in den letzten Monaten deutlich angestiegen ist – und das nicht nur auf Firefox bezogen, sondern auch bei anderen Software-Projekten beobachtet werden kann.

Es ist sicherlich richtig, dass dadurch, dass solche Tools immer besser und zugänglicher werden, die Gefahr besteht, dass mehr Sicherheitslücken von den Falschen gefunden werden. Aber ich würde auch argumentieren, dass Browser nochmal eine besondere Rolle einnehmen, einfach weil wirklich jeder einen Browser braucht, Browser neben dem Betriebssystem mit die komplexeste Software darstellen, häufig sensible Daten gespeichert werden und Browser sehr tiefgehende Privilegien besitzen, die es sehr viel lohnenswerter machen, den Browser anzugreifen, als zum Beispiel einen Texteditor.

Vor diesem Hintergrund würde ich allerdings Browser-Forks von Hobby-Entwicklern noch kritischer als ohnehin schon bewerten, weil die sich eben tatsächlich in diesem auf Sicherheit bezogen hochsensiblen Bereich bewegen.

Wäre Claude auch was für unsere Javascript-"Spezies" hier was?

Es gibt zwar eine kostenlose Nutzung, aber bei 5 Euro denke ich, ist diese Nutzung irgendwo sehr limitiert. Für mich lohnt sich das persönlich nicht.

Dann aber Claude Opus oder Claude Sonnet, nicht Claude Mythos.