Verfolge die Punkte

Gestern habe ich etwas gelesen, was fast niemand liest: die Versionshinweise (Release Notes) des neuesten iOS-Updates. Und was ich fand, ließ mich erstarren, nicht wegen der neuen Funktionen oder Emojis, sondern wegen dem, was in der Sicherheitssektion verborgen ist.

Ich habe persönlich die offiziellen Sicherheitsberichte von Apple (support.apple.com) der letzten fünf kleinen Updates des Betriebssystems überprüft, CVE für CVE. Der Durchschnitt der gepatchten Schwachstellen war bereits im Anstieg, lag zwischen 40 und 60 pro Version. Allerdings bricht dieses letzte Update mit dieser Tendenz und bringt es auf 87 kritische Sicherheitskorrekturen - fast 75% über diesem bereits hohen Durchschnitt.

Um es in Perspektive zu setzen, habe ich dieses Diagramm erstellt, das den Umfang der Patches der letzten 6 Versionen vergleicht:

Um welche Art von Patches geht es hier? Bei der Zusammenfassung des Berichts handelt es sich nicht um oberflächliche Fehler. Wir sehen tiefgreifende Korrekturen von Speicherfehlern im Kernel, Schwachstellen für die Ausführung von beliebigem Code in WebKit, Fehlleistungen bei der Privilegien-Eskalation in CoreBluetooth und Lücken im Sandbox. Komplexe, labyrinthartige Fehler, die ein Team von menschlichen Ingenieuren Monate brauchen würde, um sie zu überprüfen und zu entdecken.

Und hier beginnt meine Spekulation.

Spekulation: der Faktor Fable 5

Ich möchte sehr klar sein: Ich habe keine internen Informationen von Apple oder durchgesickerte Dokumente, die es beweisen. Dies ist reine Spekulation basierend auf der Beobachtung des Marktes. Aber wie die Amerikaner sagen: "follow the dots" (verbinde die Punkte).

Wir wissen aus jüngsten Pressemitteilungen, dass Apple KI massiv in seine internen Entwicklungsprozesse integriert. Wir wissen auch, dass sie strategische Allianzen und fortgeschrittene Gespräche mit KI-Riesen wie Anthropic haben.

Wenn wir mich an meine vorherige Kolumne erinnern, in der ich erzählte, wie das Fable-Modell auf autonome Weise Schwachstellen in unserem GitLab in nur wenigen Minuten fand (und uns dabei eine Vermögen kostete), dann hört sich der Sprung in den Sicherheitspatches von iOS von einer Version zur anderen nicht mehr wie ein rein menschliches Bemühen an.

Meine Hypothese ist diese: Apple hat Fable 5 (oder einen KI-Agent mit ähnlichen Fähigkeiten) auf seinen eigenen Quellcode losgelassen. Sie verwenden autonome KI-Agents der neuesten Generation, um Millionen von Zeilen Legacy-Code zu überprüfen und Schwachstellen zu finden, die seit Jahren im Betriebssystem geschlafen haben.

Das Problem der "großen Taschen"

Wenn ich recht habe, sollten wir uns als iPhone-Nutzer freuen, oder? Unser Telefon ist jetzt viel sicherer. Ja, aber als Branchenanalyst bereitet mir das große Sorgen.

Wenn Fable 5 für diese massive Code-Reinigung verantwortlich ist, dann erleben wir die Geburt einer unüberbrückbaren technologischen Kluft. Wie ich vor einigen Tagen dokumentierte, ist der Einsatz dieser Spitzenmodelle für die Überprüfung von Systemen brutal teuer.

Die Kosten für die Überprüfung mit KI der Spitzenklasse: Mein Team musste 845 USD zahlen, damit die KI zwei unbedeutende Probleme in einigen Stunden fand. Die Überprüfung eines kompletten mobilen Betriebssystems würde, folgt man dieser Logik, Millionen von Dollar an Token und API-Verbrauch bedeuten.

Stellen wir uns den Rechenaufwand vor, um das meistgenutzte mobile Betriebssystem der Welt zu überprüfen. Wir sprechen von Millionen von Dollar an Token und API-Verbrauch.

Apple, Microsoft, Google und die internationale Bankenwelt haben die "großen Taschen" (die tiefen Taschen), um dies zu bezahlen. Sie haben unbeschränkten Zugang - und Vorzugsvereinbarungen für den Volumenkauf - zu den fortschrittlichsten Modellen der Welt. Sie können es sich leisten, Fable 5 24/7 laufen zu lassen und ihre Systeme gegen Zero-Day-Exploits zu schützen.

Aber was passiert mit den KMU? Was passiert mit der Startup, die in Mexiko Buchhaltungssoftware entwickelt? Was passiert mit dem regionalen Krankenhaus, das ein eigenes Managementsystem hat?

Sie können sich die Rechnung von Fable nicht leisten. Sie werden weiterhin auf jährliche menschliche Audits oder traditionelle Schwachstellen-Scanner angewiesen sein, die Lichtjahre von der Denkfähigkeit eines Spitzenmodells entfernt sind.

Das neue Zeitalter der asymmetrischen Unsicherheit

Ich glaube nicht, dass diese Kluft sich bald schließen wird. Solange der Kostenfaktor für die Inferenz der wirklich fortschrittlichen Modelle prohibitiv bleibt, wird die Cybersicherheit zu einem korporativen Luxusgut.

Die großen Unternehmen werden zu digitalen Festungen, die von KI überprüft und undurchdringbar sind, während der Rest des Marktes ein offenes Feld von veralteten Schwachstellen ist, die nur darauf warten, ausgenutzt zu werden (ironischerweise von Cyberkriminellen, die ebenfalls KI verwenden, um sie zu finden).

Lassen Sie uns sehen, was die Zukunft bringt. Sicherlich wird diese Tendenz in den nächsten Monaten bestätigt, es wird Leaks geben, und wir werden wissen, ob ich mich irre oder ob Apple tatsächlich die Ära der "automatisierten Elite-Cybersicherheit" eingeläutet hat.

Was meinen Sie? Sehen Sie diese Sicherheitslücke in Ihren Branchen wachsen?