OpenAI veröffentlicht Richtlinien für Sicherheitslücken-Meldungen
von caschy | Ein Kommentar
Die KI-Experten von OpenAI haben heute einen Schritt in Richtung mehr Transparenz und Sicherheit unternommen. In einem Blogpost stellt das Unternehmen seine neue „Outbound Coordinated Disclosure Policy“ vor. Dahinter verbirgt sich ein strukturierter Prozess, wie OpenAI künftig mit Sicherheitslücken umgeht, die ihre KI-Systeme in Software von Drittanbietern entdecken. Spannend ist vor allem der Hintergrund: OpenAIs Systeme haben bereits Zero-Day-Schwachstellen in Open-Source-Software und kommerziellen Anwendungen aufgedeckt. Das Unternehmen geht davon aus, dass KI-Systeme in Zukunft noch häufiger und effektiver Sicherheitsprobleme finden werden. Mit den neuen Richtlinien bereitet man sich also auf eine Entwicklung vor, die erst am Anfang steht.
Der Ansatz von OpenAI klingt dabei erst einmal vernünftig. Man setzt auf Kooperation statt Konfrontation und will Entwicklern die nötige Zeit geben, gefundene Schwachstellen nachhaltig zu beheben. Standardmäßig werden Funde zunächst nicht öffentlich gemacht. Erst wenn es das öffentliche Interesse erfordert oder andere wichtige Gründe vorliegen, behält sich OpenAI eine Veröffentlichung vor. Besonders interessant finde ich den Verzicht auf starre Zeitvorgaben für die Behebung von Schwachstellen. OpenAI erkennt damit an, dass die von KI-Systemen gefundenen Bugs zunehmend komplexer werden könnten und mehr Zeit für ihre Analyse und Behebung erforderlich sein wird.
Ohne Schwarzmalerei: Bei den ganzen Systemen und den Möglichkeiten wird das in Zukunft ein Katz-und-Maus-Spiel.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Da scheint auf den ersten Blick nichts Besonderes zu stehen. Viele Softwareunternehmen haben aus diversen Gründen eine solche Richtlinie, vor allem, um einen koordinierten Umgang mit Schwachstellen zu gewährleisten und zu zeigen, dass sie verantwortungsvoll damit umgehen. Die Veröffentlichung solcher Richtlinien ist auch Voraussetzung, um beispielsweise selbst CVE Numbering Authority zu werden. Das hat wiederum Vorteile im Umgang mit eigenen Schwachstellen.