GPT-6 Cyber findet 81 Sicherheitslücken in Firefox

👁 116 Aufrufe

Brian Grinstead, Firefox-Ingenieur bei Mozilla, schrieb über GPT-6 Cyber, dass der Browser als eines der am stärksten gehärteten und geprüften Softwareprogramme weltweit ins Jahr 2026 gestartet sei - und das Modell dennoch bisher unbekannte, schwerwiegende Sicherheitslücken darin entdeckt habe. Die von OpenAI genannte Zahl lautet 81. Ich habe diese Angaben an der einzigen Stelle überprüft, an der dies ohne direkten Zugriff auf das Modell möglich ist: in den Sicherheitsbulletins von Mozilla.

Was das Modell konkret geleistet hat

Laut OpenAI führten Sicherheitsforscher des Unternehmens eine Kampagne zur Schwachstellensuche durch, bei der GPT-6 Cyber weitgehend autonom agierte: Das Modell fand Fehler, erstellte Proof-of-Concepts sowie Testfälle zu deren Reproduktion und schlug direkt passende Patches vor. Diese Ergebnisse wurden samt Code-Korrekturen an Mozilla übermittelt, woraufhin Mozilla zeitnah mit der Implementierung begann. OpenAI betont vorsichtig, das Modell „könnte“ sich für die autonome Suche nach Schwachstellen und das Vorschlagen von Patches in großem Maßstab eignen - eine bewusste Formulierung, kein definitives Versprechen.

Wichtig ist hierbei der Kontext, den Mozilla selbst liefert: Firefox wurde bereits im Vorfeld mithilfe mehrerer Generationen von KI-Modellen kontinuierlich gehärtet. Es handelt sich also keineswegs um vernachlässigten Code, sondern um eine Softwarebasis, aus der frühere Systeme die einfacheren Fehler längst bereinigt hatten.

Ein Blick in das Sicherheitsbulletin von Mozilla

OpenAI verweist in seiner Ankündigung direkt auf das Sicherheitsbulletin MFSA 2026-118, das am 27. Oktober 2026 parallel zur Veröffentlichung von Firefox 159 herausgegeben wurde. Ich habe das Bulletin Eintrag für Eintrag durchgesehen. Da Mozilla inzwischen für jeden intern identifizierten Speicherfehler eine eigene CVE-Kennung vergibt, anstatt diese zusammenzufassen, fällt die Liste mit 167 Einträgen sehr umfangreich aus. Bei 41 dieser Meldungen wird explizit eine Person „of OpenAI“ als Entdecker genannt. Alle 41 Fälle sind mit dem Schweregrad „high“ bewertet. Dabei handelt es sich primär um Use-After-Free-Fehler in unterschiedlichsten Browser-Komponenten, vom Textlayout über das Font-Rendering bis hin zu WebRTC.

Dass 41 weniger als die genannten 81 sind, deckt sich mit den Angaben von OpenAI: Mozilla hat mit dem Rollout der Korrekturen begonnen; ein weiterer Teil wird in nachfolgenden Versionen bereitgestellt. Das Bulletin nennt nicht das konkrete Modell hinter dem jeweiligen Fund. Ich behaupte daher nicht, dass jeder dieser 41 Einträge zwingend von GPT-6 Cyber stammt - belegt ist jedoch, dass diese Meldungen in diesem Release direkt von OpenAI eingereicht wurden.

Warum dieser Nachweis wichtiger ist als synthetische Benchmarks

Klassische Benchmarks bewerten vorgefertigte Testaufgaben unter Laborbedingungen. Das Herstellerbulletin liefert dagegen einen handfesten Praxisbeweis: Ein unabhängiges Softwarehaus hat die Meldungen entgegengenommen, die Dringlichkeit selbstständig evaluiert und offizielle Updates ausgerollt. Im Rahmen der gesamten GPT-6-Cyber-Veröffentlichung ist dies neben dem Bericht zum Linux-Kernel das stärkste Indiz dafür, dass das Modell praxisrelevante Resultate liefert.

Dieser Fortschritt hat allerdings eine Kehrseite. Wenn ein KI-System Dutzende schwerwiegende Lücken in einem der am besten abgesicherten Browser der Welt aufdecken kann, werden vergleichbare Werkzeuge in den falschen Händen denselben Effekt auf weit weniger überwachte Programme haben. OpenAI spricht in der Veröffentlichung von einem eng begrenzten Zeitfenster, in dem Verteidiger diese Technologien implementieren müssen, bevor Angreifer sie flächendeckend adaptieren.

Empfohlene Maßnahmen für Nutzer und Administratoren

• Aktualisieren Sie Firefox sofort auf Version 159 oder höher. Den Dialog finden Sie im Anwendungsmenü unter „Hilfe“ und anschließend „Über Firefox“.
• Falls Sie Systeme in Unternehmen verwalten: Prüfen Sie, ob für die Extended Support Release (ESR) entsprechende Patches vorliegen, und erzwingen Sie das Update über zentrale Richtlinien.
• Schieben Sie Browser-Aktualisierungen generell nicht auf. Das Tempo, mit dem Sicherheitslücken mittels KI automatisiert aufgespürt werden, steigt spürbar an - und damit auch die Notwendigkeit schneller Patch-Zyklen.

Weitere Details zu diesem Modell finden Sie in unserer Übersicht zu GPT-6 Cyber.

Quellen

• OpenAI, GPT-6 Cyber, 05.11.2026 (Abschnitt Real-world impact, Zitat Brian Grinstead)
• Mozilla, Security Vulnerabilities fixed in Firefox 159 (MFSA 2026-118), 27.10.2026

// weiterlesenGPT-6 Cyber: Was das neue Sicherheitsmodell von OpenAI kannNachrichtenGPT-6 Cyber API-Preise: Kosten pro Million Token und ExploitNachrichtenGPT-6 Cyber knackt Linux-Kernel: 948 Exploits für 1,2 Mio. DollarNachrichten

Kinetyra