### KI gestaltet die Schwachstellenlandschaft neu Innerhalb weniger Tage unterstrichen zwei bedeutende Cybersicherheitsereignisse die eskalierende Auswirkung künstlicher Intelligenz auf die Entdeckung von Schwachstellen und das Patch-Management. Ein Startup im Bereich Cybersicherheit meldete 21 bisher unbekannte Schwachstellen in **FFmpeg**, der allgegenwärtigen Medienbibliothek, die alle von einem autonomen KI-Agenten identifiziert wurden. Gleichzeitig veröffentlichte **Google** **Chrome 149** mit einer beispiellosen Anzahl von 429 behobenen Sicherheitsproblemen. Obwohl nur die **FFmpeg**-Bugs direkt von KI gefunden wurden, folgt die Rekordzahl an Patches für **Chrome** der kürzlichen Überarbeitung des Bug-Bounty-Programms von **Google**, die durch eine Flut von KI-generierten Einreichungen ausgelöst wurde. Die Mechanismen unterscheiden sich, aber der zugrunde liegende Druck ist konstant: KI erhöht schnell das Volumen und die Geschwindigkeit der Schwachstellen, die den für die Sicherung digitaler Assets zuständigen Personen präsentiert werden. ### FFmpeg unter der Lupe: 21 von KI entdeckte Zero-Days Die **FFmpeg**-Erkenntnisse stammen von **depthfirst**, einem Sicherheitsunternehmen, dessen autonomer Sicherheitsagent etwa 1,5 Millionen Zeilen **FFmpeg**s C-Code gescannt hat. Dieser Scan ergab 21 bestätigte Zero-Day-Schwachstellen, die jeweils von einem reproduzierbaren Proof-of-Concept-Input begleitet wurden. **depthfirst** schätzt die Kosten für diesen automatisierten Schwachstellenentdeckungslauf auf rund 1.000 US-Dollar. Bemerkenswerterweise waren mehrere dieser Bugs 15 bis 20 Jahre lang im Code verborgen. Ein spezifischer Stack-Overflow im Service-Description-Table-Code stammt aus dem Jahr 2003 und blieb 23 Jahre lang unentdeckt. Die meisten der identifizierten Fehler sind Heap- oder Stack-Overflows in Parsen und Demuxern, die Komponenten vom TS-Demuxer bis zum VP9-Decoder betreffen. **depthfirst** hat bestätigt, dass einige dieser Bugs bereits zugewiesene **CVE**-Identifikatoren haben, darunter **CVE-2026-39210** bis **CVE-2026-39218**. Die verbleibenden Schwachstellen sind behoben, aber noch nicht öffentlich nummeriert. Ein Proof-of-Concept (PoC) wurde ebenfalls öffentlich geteilt. ### Chrome 149: Eine rekordverdächtige Patch-Veröffentlichung In einer separaten, aber ebenso wirkungsvollen Nachricht behebt **Chrome 149** 429 Schwachstellen und stellt damit die höchste Anzahl an Korrekturen in einer einzigen Veröffentlichung dar. Über 100 davon sind als kritisch oder hoch eingestuft und umfassen überwiegend Use-After-Free-Probleme und mangelhafte Eingabevalidierungsfehler. Die schwerwiegendste Schwachstelle, **CVE-2026-10881** (CVSS 9.6), ist ein Out-of-Bounds-Read-and-Write-Bug in der **ANGLE**-Grafik-Engine. Dieser kritische Fehler könnte es einer speziell gestalteten Webseite ermöglichen, aus dem Browser-Sandbox auszubrechen und beliebigen Code auf dem Host-System auszuführen. **Google** zahlte eine beträchtliche Prämie von 97.000 US-Dollar für deren Entdeckung. Interessanterweise wurden die schwerwiegendsten Bugs überwiegend intern von **Googles** eigenen Teams entdeckt. Von etwa 90 hochgradigen Fehlern wurden nur 10 von externen Forschern gemeldet, und 19 der 22 kritischen Schwachstellen waren interne Funde. Für **Chrome** scheint die KI-Verbindung eher mit der schieren Menge der Einreichungen als mit der direkten Urheberschaft dieser spezifischen kritischen Bugs zusammenzuhängen. ### Ein breiterer Trend: Die wachsende Reichweite der KI Obwohl **Google** die 429 **Chrome**-Korrekturen nicht direkt der KI zugeschrieben hat, wurde die Überarbeitung des Bounty-Programms des Unternehmens im April ausdrücklich für das KI-Zeitalter vorgenommen, angetrieben durch eine Flut von KI-generierten Einreichungen. Dieses neue Programm priorisiert nun prägnante Schritte zur Reproduktion von Schwachstellen gegenüber langen, KI-generierten Ausarbeitungen. Dieser Trend geht über **Chrome** hinaus. **Googles Big Sleep Agent** hat zuvor **FFmpeg**-Bugs gemeldet, die nun auf der Sicherheitsseite des Projekts sichtbar sind. Ebenso hat **Anthropic**s **Mythos-Modell** erfolgreich einen 16 Jahre alten H.264-Fehler und andere Probleme in **FFmpeg** für geschätzte 10.000 US-Dollar identifiziert, von denen drei in **FFmpeg 8.1** enthalten waren. Erst vor wenigen Tagen entdeckte ein weiteres autonomes Werkzeug eine authentifizierte Remote Code Execution (RCE)-Schwachstelle in **Redis**, die seit Version 7.2.0 über zwei Jahre lang unbemerkt geblieben war. Weitere Forschungsergebnisse untermauern diesen Trend: Eine Studie vom Februar zeigte, dass ein KI-Agent funktionierende PoCs für mehr als die Hälfte von 100 realen N-Day-Bugs im **Linux-Kernel** reproduzieren konnte und damit traditionelle Fuzzing-Methoden übertraf. ### Dringende Maßnahmen erforderlich: Patching-Anleitung Für **FFmpeg**-Benutzer ist es entscheidend, den behobenen Upstream-Build oder das Sicherheitsupdate Ihrer Distribution zu beziehen, sobald es verfügbar ist. Priorisieren Sie das Patchen von allem, das nicht vertrauenswürdige RTSP- oder AV1-über-RTP-Streams verarbeitet. Angesichts der weit verbreiteten Integration von **FFmpeg** in Medienpipelines, Python-Wheels, Container-Images und verschiedene Appliances sollte das Patchen nicht bei Systempaketen aufhören; auch eingebettete Kopien erfordern sofortige Aufmerksamkeit. **Chrome**-Benutzer sollten auf Version 149.0.7827.53 unter Linux oder 149.0.7827.53/54 unter Windows und macOS aktualisieren. Stellen Sie sicher, dass Ihr Auto-Update-Mechanismus die neuesten Patches erfolgreich angewendet hat. ### Die Zukunft der Sicherheit: Eine Herausforderung für Mensch und Maschine Die Reaktion der Cybersicherheit muss sich an dieses beschleunigte Tempo anpassen: kürzere Patch-Zyklen, allgegenwärtige Auto-Update-Mechanismen und Abhängigkeitsupdates, die **CVE**-Korrekturen enthalten, müssen als kritische Sicherheitsarbeit und nicht nur als Routine-Wartung behandelt werden. Die größte Herausforderung liegt in diesem Wandel. Während die Suche nach diesen Bugs dank KI bemerkenswert günstig geworden ist, bleiben die nachfolgenden Prozesse der Triage von Berichten, der Entwicklung und Auslieferung von Korrekturen sowie der Sicherstellung ihrer Installation komplex und kostspielig. Ein Großteil dieser wesentlichen Arbeit liegt immer noch bei menschlichen Freiwilligen und einer dünnen Schicht menschlicher Triager, die nun mit Maschinen Schritt halten müssen. Diese Diskrepanz verdeutlicht einen wachsenden Engpass im Schwachstellenmanagement-Lebenszyklus und erfordert innovative Lösungen, um die Lücke zwischen KI-gesteuerter Entdeckung und menschlich geführter Behebung zu schließen.