Die KI hat den Bug gefunden, den Menschen 15 Jahre übersehen haben – sollten wir uns freuen oder sorgen?

Eine Sicherheitslücke im Linux-Kernel blieb 15 Jahre lang unentdeckt – bis eine KI sie fand. Was das über echte KI-Fähigkeiten jenseits von Chatbot-Hype verrät, und was es für Entwicklerinnen von morgen bedeutet.*

15 Jahre lang haben Sicherheitsforscherinnen weltweit den Linux-Kernel durchleuchtet – jenen Code, auf dem ein Großteil des Internets, fast alle Android-Handys und die meisten Server der Welt laufen. Übersehen haben sie trotzdem eine Lücke, mit der sich jeder mit ein bisschen Geduld zum Root-Administrator eines fremden Systems machen konnte. Gefunden hat sie am Ende: eine KI.

Was GhostLock so gefährlich macht

Die Lücke trägt inzwischen einen Namen: GhostLock, offiziell CVE-2026-43499. Sie steckt in einer Aufräumfunktion des Linux-Kernels, die eigentlich Prozesse nach Ablauf sauber aus dem Speicher entfernen soll. Das Problem: Unter bestimmten Bedingungen – wenn ein sogenanntes Requeuing ausgelöst wird – räumt die Funktion den falschen Prozess auf und gibt Speicher frei, auf den an anderer Stelle noch zugegriffen wird. Fachleute nennen das einen „Use-after-free“-Fehler. Wer das gezielt ausnutzt, kann sich Root-Rechte verschaffen und sogar aus Containern ausbrechen, wie das Sicherheitsunternehmen Nebula Security zeigen konnte – laut eigenen Angaben mit einer Erfolgsquote von 97 Prozent.

Das eigentlich Beunruhigende: Der Fehler steckt laut Nebula Security bereits seit Kernel-Version 2.6.39 aus dem Jahr 2011 im Code – betroffen sind demnach nahezu alle großen Linux-Distributionen bis Version 7.0. Fünfzehn Jahre, in denen unzählige Audits, Code-Reviews und Sicherheitsforscher*innen an dieser Stelle vorbeigeschaut haben.

Wer sie gefunden hat – und wie

Entdeckt hat die Lücke laut Berichten von The Hacker News und Cybernews das Sicherheitsteam von Nebula Security – mithilfe eines eigens entwickelten KI-Agenten namens VEGA. Das Unternehmen selbst formuliert es offensiv: VEGA könne Sicherheitslücken „schneller finden, als Menschen es je könnten“. Für den Fund erhielt Nebula Security 92.337 US-Dollar aus Googles kernelCTF-Bug-Bounty-Programm.

Zur Einordnung: Diese Einschätzung stammt von Nebula Security selbst – wie genau VEGA arbeitet und wie viel menschliche Vorarbeit und Kontrolle im Prozess steckten, ist öffentlich nicht im Detail belegt. Klar ist aber: Der Fund reiht sich in eine Reihe ähnlicher Berichte ein. US-Senator Mark Warner erwähnte kürzlich öffentlich, ein KI-Modell von Anthropic namens Mythos habe bei einem Sicherheitstest „fast alle“ getesteten klassifizierten Systeme durchbrochen – nicht in Wochen, sondern in Stunden. Auch das: eine Aussage, kein unabhängig verifizierter Fakt, aber ein Indiz für einen klaren Trend.

Was das für Entwickler*innen von morgen bedeutet

Heißt das, dass menschliche Sicherheitsforscher*innen überflüssig werden? Eher nicht – aber ihre Arbeit verschiebt sich. Genau solche „Use-after-free“-Fehler, bei denen man sich durch Millionen Codezeilen und komplexe zeitliche Abläufe wühlen muss, sind die Art von Nadel-im-Heuhaufen-Aufgabe, bei der KI-Systeme ihre Stärke ausspielen: Muster über riesige Datenmengen erkennen, ohne müde zu werden. Was KI-Systeme bislang nicht ersetzen: einschätzen, wie kritisch ein Fund wirklich ist, ihn verantwortungsvoll melden, den Patch entwickeln und die Lücke in echten Systemen schließen. Das bleibt Menschenarbeit.

Für alle, die gerade überlegen, in Informatik, IT-Security oder Softwareentwicklung einzusteigen, ist das eher eine Verschiebung als eine Bedrohung: Weniger stures manuelles Durchforsten von Code, mehr Bewertung, Priorisierung und Verantwortung für das, was eine KI ausspuckt. Die Kompetenz, die zählt, verändert sich – sie verschwindet nicht.

Praktisch relevant ist GhostLock übrigens auch für dich, falls du selbst Server betreibst oder verwaltest: Ein Workaround existiert laut Berichten nicht, geholfen hat bislang nur ein Update auf Kernel-Version 7.1 oder neuer. Für die meisten von uns übernehmen das automatische Updates im Hintergrund – ein Grund mehr, sie nicht wegzuklicken.

Freuen oder sorgen, war die Ausgangsfrage. Ehrliche Antwort: ein bisschen beides. Und genau das macht die Entwicklung spannend statt bedrohlich – vorausgesetzt, es bleiben Menschen im Raum, die entscheiden, was mit dem Gefundenen passiert.

Foto von Tima Miroshnichenko: https://www.pexels.com/de-de/foto/internet-technologie-display-bildschirm-5380792/