Google hat nach eigenen Angaben jüngst einen Cyberangriff verhindert, der auf einer Zero-Day-Lücke beruht hätte, die mithilfe einer KI-Technik gefunden wurde. Das hat die Google Threat Intelligence Group jetzt öffentlich gemacht, ohne dabei aber viele Details zu nennen. Laut der Erläuterung handelte es sich um eine Sicherheitslücke in einem Python-Skript, das es einem Nutzer oder einer Nutzerin ermöglicht hätte, die Zwei-Faktor-Authentifizierung „eines beliebten, quelloffenen, web-basierten Werkzeugs zur Systemadministration“ zu umgehen. Die Informationen zur Lücke seien dem betroffenen Anbieter im Rahmen von Responsible Disclosure offengelegt und die damit verbundenen Aktivitäten unterbunden worden. Bei Google gehe man davon aus, dass die Lücke nicht mit der eigenen KI Gemini entdeckt wurde.

Über den Einzelfall hinaus von Bedeutung

Die Sicherheitsabteilung von Google hat demnach auch keinen direkten Beweis dafür, dass die Lücke mit KI-Hilfe gefunden wurde, darauf schließt man dort lediglich aus bestimmten Indizien. So enthalte der Schadcode eine Vielzahl von informativen Angaben, einen fiktiven CVSS-Wert und ein „strukturiertes, lehrbuchhaftes Python-Format, das für Trainingsdaten generativer Sprachmodelle sehr charakteristisch“ sei. Gleichzeitig handle es sich um eine Art von Lücke, die mit herkömmlichen Werkzeugen nur sehr schwer zu finden gewesen sein. KI-Modelle würden bei der Suche danach aber „brillieren“. Dabei würden verborgene Logikfehler aufgedeckt, „die für herkömmliche Scanner zwar funktional korrekt erscheinen, aus Sicherheitssicht aber schwerwiegende Schwachstellen darstellen“.

Die Bekanntmachung von Google deutet an, dass eine Epoche KI-gestützter Cyberangriffe begonnen haben könnte, vor der seit Wochen gewarnt wird und bei der unklar ist, wie lange sie andauern könnte. Grundlage dafür war primär das KI-Modell Claude Mythos Preview, das bei der Suche nach Lücken so gut sein soll, dass der Hersteller Anthropic es nicht veröffentlichen will. Stattdessen haben nur ausgewählte Firmen Zugriff, die damit die IT-Sicherheit verbessern sollen. Als direkte Konsequenz wurden in mancher Software zuletzt besonders viele Lücken gefunden und geschlossen. Bei Mozilla meint man sogar, dass alle Softwarefehler grundsätzlich auffindbar seien und die Verteidigung gewinnen könnte. Bis dahin dauert es aber noch, und Googles Stellungnahme deutet an, dass böswillige Cyberakteure nun ähnliche Werkzeuge nutzen können.

(mho)

Release-Tag bei Apple: Der Hersteller hat am Montagabend größere Updates für iPhones, Macs, iPads und Watches zum Download freigegeben. Die frische Version 26.5 der Betriebssysteme iOS, macOS, iPadOS und watchOS beinhaltet nur eine kleine Zahl an Neuerungen, dafür ist eine Funktion gravierend: Mit dem Update liefert Apples Nachrichten-App nämlich die versprochene Ende-zu-Ende-Verschlüsselung (E2EE) für RCS nach. Das Messaging mit Android-Nutzern über Apples Standard-App soll damit zum ersten Mal mit einer durchgängigen Verschlüsselung dagegen geschützt werden, dass etwa Netzbetreiber oder andere Dritte mitlesen können.

RCS mit E2EE vorerst als Beta

Die Verschlüsselung erfolgt auf Protokollebene und basiert auf der vor über einem Jahr eingeführten RCS-Spezifikation „RCS Universal Profile 3.0“. Als Kryptografie-Standard kommt das Messaging-Layer-Security-Protokoll (MLS) zum Einsatz. Apple stuft die Verschlüsselung vorerst als „Beta“ ein und verweist darauf, dass diese erst schrittweise eingeführt wird und der Konzern keine Kontrolle über den Client des Gegenübers hat. Voraussetzung ist, dass RCS 3.0 von der App des Senders wie Empfänger unterstützt wird – und auch die jeweils involvierten Netzbetreiber mit an Bord sind.

Am Montag klappte in einem kurzen Test von Mac & i der Austausch von RCS-Mitteilungen mit Ende-zu-Ende-Verschlüsselung zwischen einem iPhone mit iOS 26.5 im Telekom-Netz sowie einem Android-Gerät mit Android 16 und Google Messages (Beta) im Vodafone-Netz. Ein RCS-Chat mit Google Messages auf einem anderen Android-Smartphone im Telekom-Netz blieb im Unterschied dazu unverschlüsselt – Ursache unklar. Apple Nachrichten kennzeichnet die Ende-zu-Ende-Verschlüsselung ärgerlicherweise nur sehr unauffällig, sodass viele Nutzer übersehen dürften, ob ihre Nachrichten tatsächlich geschützt sind oder aber nicht. Sprechblasen bleiben – wie schon immer bei SMS-Messages – unverändert grün, auch wenn die durchgängige Verschlüsselung greift.

Sicherheits-Patches – auch für ältere Apple-Systeme

iOS 26.5 liefert ein neues Wallpaper „Pride Luminance“ mit und bereitet in ersten Regionen die Einführung von Werbung in Apple Karten vor. Dazu gehören neue Vorschläge für Orte in der Umgebung, dort sollen letztlich auch die Werbebanner erscheinen. In Deutschland ist davon vorerst nichts zu sehen. In watchOS 26.5 beseitigt Apple außerdem zwei Bugs. Kleinere Neuerungen gibt es in der Erinnerungen-App für als dringend markierte To-dos sowie beim Verbinden mit Apple-Peripherie: Stöpselt man eine Magic-Keyboard-Tastatur zum ersten Mal per Kabel an iPhone oder iPad, wird dadurch zugleich das Bluetooth-Pairing hergestellt.

Die neue Version soll auch Sicherheitslücken beseitigen, erste Details dazu liefert Apple gewöhnlich im Laufe des Abends nach. Parallel zu iOS, iPadOS, macOS und watchOS hat Apple auch tvOS und visionOS 26.5 zum Download freigegeben sowie die Software-Version 26.5 für HomePods. Überdies gibt es einen Patch für iOS und iPadOS 18 mit Version 18.7.9 sowie Updates für macOS 15 Sequoia (15.7.7) und macOS 14 Sonoma (14.8.7). Ebenfalls verfügbar: iOS 17.7.11, 16.7.16 und 15.8.8.

(lbe)

Release-Tag bei Apple: Der Hersteller hat am Montagabend größere Updates für iPhones, Macs, iPads und Watches zum Download freigegeben. Die frische Version 26.5 der Betriebssysteme iOS, macOS, iPadOS und watchOS beinhaltet nur eine kleine Zahl an Neuerungen, dafür ist eine Funktion gravierend: Mit dem Update liefert Apples Nachrichten-App nämlich die versprochene Ende-zu-Ende-Verschlüsselung (E2EE) für RCS nach. Das Messaging mit Android-Nutzern über Apples Standard-App soll damit zum ersten Mal mit einer durchgängigen Verschlüsselung dagegen geschützt werden, dass etwa Netzbetreiber oder andere Dritte mitlesen können.

RCS mit E2EE vorerst als Beta

Die Verschlüsselung erfolgt auf Protokollebene und basiert auf der vor über einem Jahr eingeführten RCS-Spezifikation „RCS Universal Profile 3.0“. Als Kryptografie-Standard kommt das Messaging-Layer-Security-Protokoll (MLS) zum Einsatz. Apple stuft die Verschlüsselung vorerst als „Beta“ ein und verweist darauf, dass diese erst schrittweise eingeführt wird und der Konzern keine Kontrolle über den Client des Gegenübers hat. Voraussetzung ist, dass RCS 3.0 von der App des Senders wie Empfänger unterstützt wird – und auch die jeweils involvierten Netzbetreiber mit an Bord sind.

Am Montag klappte in einem kurzen Test von Mac & i der Austausch von RCS-Mitteilungen mit Ende-zu-Ende-Verschlüsselung zwischen einem iPhone mit iOS 26.5 im Telekom-Netz sowie einem Android-Gerät mit Android 16 und Google Messages (Beta) im Vodafone-Netz. Ein RCS-Chat mit Google Messages auf einem anderen Android-Smartphone im Telekom-Netz blieb im Unterschied dazu unverschlüsselt – Ursache unklar. Apple Nachrichten kennzeichnet die Ende-zu-Ende-Verschlüsselung ärgerlicherweise nur sehr unauffällig, sodass viele Nutzer übersehen dürften, ob ihre Nachrichten tatsächlich geschützt sind oder aber nicht. Sprechblasen bleiben – wie schon immer bei SMS-Messages – unverändert grün, auch wenn die durchgängige Verschlüsselung greift.

Sicherheits-Patches – auch für ältere Apple-Systeme

iOS 26.5 liefert ein neues Wallpaper „Pride Luminance“ mit und bereitet in ersten Regionen die Einführung von Werbung in Apple Karten vor. Dazu gehören neue Vorschläge für Orte in der Umgebung, dort sollen letztlich auch die Werbebanner erscheinen. In Deutschland ist davon vorerst nichts zu sehen. In watchOS 26.5 beseitigt Apple außerdem zwei Bugs. Kleinere Neuerungen gibt es in der Erinnerungen-App für als dringend markierte To-dos sowie beim Verbinden mit Apple-Peripherie: Stöpselt man eine Magic-Keyboard-Tastatur zum ersten Mal per Kabel an iPhone oder iPad, wird dadurch zugleich das Bluetooth-Pairing hergestellt.

Die neue Version soll auch Sicherheitslücken beseitigen, erste Details dazu liefert Apple gewöhnlich im Laufe des Abends nach. Parallel zu iOS, iPadOS, macOS und watchOS hat Apple auch tvOS und visionOS 26.5 zum Download freigegeben sowie die Software-Version 26.5 für HomePods. Überdies gibt es einen Patch für iOS und iPadOS 18 mit Version 18.7.9 sowie Updates für macOS 15 Sequoia (15.7.7) und macOS 14 Sonoma (14.8.7). Ebenfalls verfügbar: iOS 17.7.11, 16.7.16 und 15.8.8.

(lbe)