KI generiert gefälschte CVEs – und sie landen in echten Schwachstellen-Datenbanken

Eine US-amerikanische Firma bestätigte, dass durch KI erzeugte, nicht existente Schwachstellen-Einträge für SQLite die erste Überprüfung bestehen und in reale Sicherheitsberichtsprozesse gelangen. Es handelt sich um eine neue Angriffsfläche, die niemand vorgesehen hat.

In einfachen Worten: KI-Tools erfinden Sicherheitslücken, die im echten Code nicht existieren – und einige dieser erfundenen Einträge landen in den Datenbanken, die Sicherheitsteams nutzen, um zu entscheiden, was gepatcht werden muss.

Die Fakten

Eine US-Sicherheitsfirma analysierte KI-generierte CVE-Einträge für SQLite und bestätigte laut ITmedia AI+, dass halluzinierte Schwachstellen in einigen automatisierten Prozessen die erste Prüfung bestehen und in reale Sicherheitssysteme gelangen. Die Einträge beschreiben Fehler, die im tatsächlichen Code von SQLite nicht vorhanden sind. CVE steht für Common Vulnerabilities and Exposures – der globale Index, auf den Sicherheitstools, Scanner und Patch-Manager angewiesen sind.

Unsere Einschätzung

Dies ist die Lieferketten-Version der KI-Halluzination, und die Folgen sind anders skalierbar als ein Chatbot, der etwas erfindet. Die NVD (National Vulnerability Database) hat bereits Rückstände – sie kämpft seit Jahren mit der Bearbeitung legitimer Einreichungen. Gefälschte Einträge verschwenden nicht nur die Zeit von Analysten: Sie erzeugen falsch-positive Meldungen für automatisierte Scanner und könnten echte Schwachstellen in Priorisierungswarteschlangen verdrängen. Jeder Sicherheitsworkflow, der CVE-Feeds ohne menschliche Validierung verarbeitet, birgt nun strukturelle Risiken. Die Lösung ist nicht einfach – die CVE-Meldung ist von Grund auf halbautomatisiert, und die Nachrüstung eines KI-Herkunftsflags erfordert die Koordination zwischen MITRE, NIST und Hunderten von nachgelagerten Anbietern.

Worauf zu achten ist

Ob MITRE die Einreichungsrichtlinien aktualisiert, um die Offenlegung der Herkunft zu verlangen, und ob große Sicherheitsplattformen KI-generierte CVE-Einträge in ihren Feeds kennzeichnen.