Das Node.js-Team diskutiert derzeit darüber, den Workflow für die Flut an eingereichten, LLM-generierten Sicherheitsmeldungen zu ändern. Ideen sind, die Meldungen öffentlich zu bearbeiten und mit künstlicher Intelligenz vorzusortieren.

Das Team hat das Problem jetzt auf die Agenda des nächsten Treffens der Security Working Group am 7. Juli gesetzt. Der Initiator Rafael Gonzaga schreibt, dass alle bisherigen Maßnahmen nicht geholfen haben: „Wir sind nach wie vor überlastet.“

Daher schlägt er vor, die eingereichten Meldungen zu veröffentlichen und als Pull Requests (PR) abzuarbeiten. Bei den Einreichungen handelt es sich oft nur um Bugs, die auch gefixt gehören, aber weniger um wirkliche sicherheitsrelevante Lücken. Außerdem kommen so viele gleichartige Meldungen an, die quasi jeder mit LLM erzeugen kann: „Diese Funde sind praktisch eh schon öffentlich.“ Als PR kann sich die Community darum kümmern und das Kernteam ist entlastet.

Eine Vorsortierung durch KI könnte nur die wirklich ernsthaften Lücken erkennen und nicht öffentlich an das Sicherheitsteam zur Bearbeitung weiterleiten.

Gegenstimmen geben zu bedenken, dass der Vorschlag die Masse an Sicherheitsreports durch eine Masse an PRs ersetzt, die auch vom Kernteam geprüft werden müssen. Außerdem könnten die veröffentlichten Lücken Hacker anziehen, „als kostenlose Quelle für Ideen für automatisierte Attacken.“ Daher schlagen andere Maintainer vor, nicht die komplette Öffentlichkeit einzubeziehen, aber den Kreis auf alle Mitarbeitenden (collaborators) zu erweitern.

Kampf gegen den AI-Slop

Wie viele andere Projekte kämpft Node.js mit AI Slop und hat im April bereits das Bug-Bounty-Programm zur Belohnung von Warnungen gestrichen. Auch zu solchen Maßnahmen waren andere Projekte bereits gezwungen. Das hat laut Gonzaga aber keine Erleichterung gebracht, da es den Einreichenden eher um den Ruhm als Autor auf einer offiziellen CVE-Warnmeldung zu erscheinen geht, als um Geld.

Auch andere Maßnahmen führten nicht zum Erfolg: höhere Hürden bei der Reporting-Plattform HackerOne, engere Relevanzkriterien und automatisiertes Schließen von Reports minderer Qualität. Letzteres hat sogar dazu geführt, dass mehr Meldungen bei der Mutter OpenJS landeten. „Bald wird auch dieses Team überlastet sein“, schließt Gonzaga.

(who)

Microsoft hat am Montag die bereits im Vorfeld bekannt gewordenen Pläne für Stellenstreichungen bestätigt. Demnach will das Unternehmen 3200 Jobs in der Gaming-Sparte Xbox sowie weitere 3200 im Geschäftskundenvertrieb streichen. 2026 ist damit bereits das dritte Jahr, in dem der Konzern zum Ende des Geschäftsjahres im Sommer Stellen abbaut, um für mehr Investitionen in KI andernorts Kosten zu sparen.

Besonders schwer trifft es, gemessen am gesamten Konzernergebnis, die Xbox-Sparte. Wie deren neue Chefin Asha Sharma in ihrem Memo schreibt, fallen 1600 Stellen in ihrem Bereich sofort weg. Im Laufe der nächsten zwölf Monate will das Unternehmen dann weitere 1600 Stellen streichen. Das entspricht insgesamt etwa einem Fünftel der in der Xbox-Sparte Beschäftigten.

Compulsion und Double Fine zurück an die Gründer

Studioschließungen seien nicht vorgesehen, erklärt Sharma, vielmehr sollen einige der Firmen verkauft werden. Compulsion Games („South of Midnight“) und Double Fine („Psychonauts”) sollen von ihren Gründern zurückgekauft werden. Microsoft will den Unternehmen ihr gesamtes geistiges Eigentum übertragen, inklusive der Rechte an den bisher veröffentlichten Spielen. Auch eine Anschubfinanzierung in nicht genannter Höhe für aktuelle Entwicklungen will Redmond beisteuern.

Für Ninja Theory („Hellblade“) wird noch ein Käufer gesucht. Das Studio hat Sharma zufolge zugestimmt, von Microsoft ausgegliedert zu werden. Bereits vor drei Wochen berichtete The Verge, dass das Studio vor der Schließung stehe. Die will Microsoft nun offenbar abwenden, auch hier schreibt Sharma von einer Finanzierung für laufende Projekte wie den dritten Teil der Hellblade-Reihe namens „Senua“. Dieser Titel ist für 2027 angekündigt. Auch Undead Labs („State of Decay“) soll auf gleiche Weise verkauft werden, den dritten Teil der Zombie-Survival-Reihe will Microsoft vorerst weiter finanzieren.

Schwierige Lage in Frankreich

Etwas komplizierter scheint die Lage beim französischen Teil des Studios Arkane zu sein. Hier nennt die Xbox-Chefin keine Details. Das Management des Studios befinde sich noch in der „erforderlichen Konsultation mit dem Betriebsrat“ und könne sich erst danach neu ausrichten.

Kein Microsoft-Spiel soll eingestampft werden

Sharma betont, keiner der bereits angekündigten „First-Party-Titel“ werde eingestellt. Aufwendungen würden gegebenenfalls zugunsten „höher priorisierte“ Titel umverteilt. Das betrifft alle verbleibenden Studios – also auch das erst 2023 für 69 Milliarden US-Dollar übernommene Activision/Blizzard. Die beiden Studios Mojang und King sollen nun direkt von Asha Sharma geführt werden.

Das ist Teil einer Verschlankung der Hierarchie. Der Xbox-Chefin zufolge durchliefen manche Entscheidungen bisher bis zu 14 Ebenen, künftig sollen es höchstens fünf, im Idealfall drei Ebenen sein. „Im Zuge des Resets von Xbox werden wir die Dinge vereinfachen“ schreibt Sharma. Die nächste Microsoft-Konsole, bisher als „Project Helix“ bekannt, erwähnt sie in ihrem aktuellen Memo nicht.

3200 weitere Stellen fallen bei Microsoft weg

Von einem generellen „Reset“ von Xbox hatte Sharma bereits in vorherigen Memos an die gesamte Belegschaft geschrieben. Dieser sei nötig, um die konzernweiten Sparmaßnahmen bei Microsoft umzusetzen. Die werden mit dem heutigen Tag auch in anderen Bereichen vollzogen.

Auch die Personalchefin für den gesamten Microsoft-Konzern, Amy Coleman, hat ein Memo veröffentlicht. Darin schreibt sie von 4800 Stellen, die jetzt insgesamt wegfallen sollen. Rechnet man die 1600 sofort entfallenen Stellen bei Xbox heraus, bleiben für den Rest von Microsoft also 3200 gestrichene Arbeitsplätze. Das betrifft die „Commercial Business“-Sparte für den Geschäftskundenvertrieb.

(nie)

ByteDance und Alibaba haben in China Funktionen aus ihrem KI-Angebot entfernt, mit denen Nutzer KI-Begleiter, fiktive Charaktere oder persönliche Assistenten mit festgelegtem Auftreten und Sprechstil erstellen konnten. Damit reagieren sie auf neue Vorschriften gegen Chatbots, die menschenähnliches Verhalten simulieren oder eine dauerhafte emotionale Bindung zu Nutzern aufbauen sollen. Die Regeln treten am 15. Juli 2026 in Kraft.

Am Freitagabend kündigte ByteDance an, in Chinas meistgenutztem KI-Chatbot Doubao eine Funktion abzuschalten, mit der Nutzer eigene KI-Figuren erstellen und anpassen können. Das berichtet die South China Morning Post. Ab Mitte Oktober sollen dazugehörige Daten zudem nicht mehr in der App einsehbar oder wiederherstellbar sein.

Am Samstag sei Alibaba mit einer ähnlichen Ankündigung für seine KI-App Qwen gefolgt: Entsprechende Funktionen würden kurzfristig deaktiviert, weitere Dienste und Funktionen am 15. Juli. Nutzer werden nach diesem Datum nicht mehr auf entsprechenden Einstellungen und frühere Unterhaltungen zugreifen können. Im Juni hat Tencent bereits eine ähnliche Funktion aus seiner KI-App für Endnutzer Yuanbao entfernt, schreibt das chinesische Medium.

China zieht Grenzen für KI-Begleiter

Die neuen Vorschriften wurden im April veröffentlicht (Seite der „Cyberspace Administration of China“). Sie wenden sich gegen KI-Dienste, die „Charaktermerkmale, Denkmuster und Kommunikationsstile echter Personen“ simulieren und Nutzern „emotionale Fürsorge, Begleitung und Unterstützung“ bieten. Die Regeln sollen unter anderem emotionale Abhängigkeit und Manipulation sowie mögliche Schäden für die körperliche oder psychische Gesundheit verhindern. Ausgenommen sind Kundenservice-Bots, Wissens-Chatbots, Arbeitsassistenten sowie Bildungs- und Forschungswerkzeuge, sofern sie nicht auf eine dauerhafte emotionale Interaktion abzielen.

Mit den Maßnahmen antwortet die Regierung auf eine Problematik, die besonders in den USA für Schlagzeilen und Gerichtsverfahren gesorgt hat. In mehreren Klagen werfen Angehörige KI-Anbietern vor, dass ihre KI-Chatbots Minderjährige und Erwachsene in emotionale Abhängigkeiten verwickelt, psychische Krisen verstärkt und zu Suiziden beigetragen hätten.

Die Fälle verweisen auf ein Grundproblem vieler KI-Chatbots: Sie können Nähe, Verständnis und Verbindlichkeit simulieren und neigen zugleich zu übermäßig bestätigendem Verhalten. Dadurch können sie problematische Annahmen oder fragile emotionale Zustände verstärken, statt ihnen zu widersprechen oder Nutzer zuverlässig an menschliche Hilfe zu verweisen.

Die South China Morning Post berichtet von Nutzern, die mit Unverständnis auf die Abschaltungen reagieren. „Warum werden die Agenten entfernt? Sie waren so lange unsere emotionale Stütze“, soll ein Nutzer auf der chinesischen Social-Media-Plattform Weibo geschrieben haben.

(tobe)