LLMs finden in V8 mehr als Fuzzer, doch CIOs sehen ihre Abhängigkeiten kaum
Victoria Shinder1 Min. LesezeitZwei Beiträge aus derselben Woche beschreiben entgegengesetzte Enden der Schwachstellenkette.
Am Ende des Findens verglich Google Project Zero seine zwei automatischen Fehlerfinder an Chromes JavaScript-Engine V8 (https://projectzero.google/2026/10/fuzzing-v-AI.html). Von April bis September 2026 meldete BigSleep, ein LLM-basiertes agentisches System, das einmal täglich neue Commits prüft und Proof-of-Concept-Tests schreibt, mehr Schwachstellen als Fuzzilli, der durchgehend laufende generative JavaScript-Fuzzer: 45 gegen 37, bei 25 % Überschneidung der konkreten Fehler. Weil diese Methode die Überschneidung eher unterschätzt, schätzte Project Zero sie in eigenen Experimenten mit Schwachstellen seit 2023 auf rund 60 %. So oder so fand ein beträchtlicher Teil nur ein Ansatz; das Team empfiehlt Herstellern, beides einzusetzen.
Am Ende des Behebens befragte Red Hat 1.400 CIOs in 14 Ländern in EMEA (https://www.redhat.com/en/blog/securing-enterprise-software-supply-chain-ai-era). 76 % spielen kritische Sicherheitskorrekturen nach eigenen Angaben meist binnen 24 Stunden ein, aber nur 32,9 % haben einen vollständigen, laufend aktualisierten Überblick über ihre Open-Source-Lieferkette einschließlich verschachtelter Abhängigkeiten; 43,0 % sehen Hauptkomponenten, nicht aber die Bibliotheken in Drittanwendungen. Bei KI-Governance fühlten sich 86,7 % sicher, volles Vertrauen in ihre Datentransparenz äußerten nur 39,6 %.
Was das bedeutet
Zusammen zeigen die Zahlen, wohin sich der Engpass verschiebt. Finden Maschinen mehr Schwachstellen schneller, kommen mehr Patches — und ein schnelles Patch-Team hilft nur bei Komponenten, von denen die Organisation weiß, dass sie sie betreibt. Zwei Drittel der befragten CIOs können das für verschachtelte Abhängigkeiten nicht sagen. Die Red-Hat-Zahlen sind Selbstauskünfte, erhoben von einem Anbieter, der genau in diese Lücke verkauft; die Project-Zero-Zahlen stammen aus einem öffentlichen Bugtracker und benennen ihre Unsicherheit bei der Überschneidung selbst.