Ist das 90-Tage-Offenlegungsfenster tot? Wie KI die Regeln der CVD neu schreibt

Über ein Jahrzehnt lang stützte sich die koordinierte Offenlegung von Schwachstellen (CVD) auf das 90-Tage-Fenster. Der Sicherheitsforscher Himanshu Anand argumentiert, dass LLMs dieses Modell überholt haben, indem sie sowohl die Entdeckung von Schwachstellen als auch die Entwicklung von Exploits auf nahezu null Zeit verdichten.

Das Ende der Annahme vom alleinigen Entdecker

Nachdem er einen kritischen Fehler gemeldet hatte, erfuhr Anand, dass er innerhalb von sechs Wochen die elfte Person war, die dasselbe Problem meldete. Die LLM-gestützte Fehlersuche löst inzwischen Wellen gleichzeitiger Entdeckungen aus, was stille Sperrfristen unmöglich macht.

30 Minuten vom Patch zum Exploit

Anand speiste die Diffs eines React-Sicherheitspatches in ein LLM ein und erzeugte innerhalb von 30 Minuten einen funktionierenden Denial-of-Service-PoC. Die n-Day-Lücke, die Verteidigern einst Tage oder Wochen verschaffte, ist zusammengebrochen.

Die Woche, in der Linux Feuer fing

Copy Fail (CVE-2026-31431) wurde durch automatisiertes KI-Scanning in einer Stunde gefunden. Iranische staatlich gesteuerte Akteure nutzten die Lücke innerhalb weniger Tage aus. Bei Dirty Frag (CVE-2026-43284) wurde die 5-tägige Sperrfrist innerhalb von Stunden gebrochen, und eine Ausnutzung in freier Wildbahn wurde bestätigt, bevor irgendeine Linux-Distribution einen funktionierenden Patch hatte.

Was sich ändern muss

• Monatliche Patch-Zyklen sind ein Angriffsfenster. Jedes kritische Problem muss ein P0 sein.
• Sperrfristen sind fragil. Hersteller müssen jederzeit auf öffentliche Zero-Day-Veröffentlichungen vorbereitet sein.
• Blue Teams müssen LLMs in CI/CD integrieren, für Code-Reviews in Echtzeit, Abhängigkeits-Scans und Regressionstests von Patches.