Google zufolge verhinderte seine Threat Intelligence Group einen Cyberangriff, der auf einer Zero‑Day‑Schwachstelle beruhte, die nach Einschätzung von Google mit Hilfe einer KI‑Technik identifiziert worden sein könnte. Die Schwachstelle betraf ein Python‑Skript, das es Angreifern ermöglicht hätte, die Zwei‑Faktor‑Authentifizierung eines weit verbreiteten, quelloffenen, webbasierten Administrationswerkzeugs zu umgehen. Google meldete den Fehler dem betroffenen Projekt im Rahmen von Responsible Disclosure, unterband die Angriffsaktivitäten und hat ausserplanmässige Chrome‑Sicherheitsupdates sowie neue Android‑Schutzfunktionen angekündigt. Nutzer sollten verfügbare Chrome‑Patches einspielen, den Browser neu starten und, wo möglich, den „Erweiterten Schutz“ in Android 16 aktivieren.

Google machte den Vorfall öffentlich über seine Threat Intelligence Group, kurz GTIG. Laut der Mitteilung verhinderte das Team einen Angriff, der eine Zero‑Day‑Schwachstelle ausnutzte und offenbar gezielt auf die Umgehung der Zwei‑Faktor‑Authentifizierung abzielte. Betroffen war demnach ein weit verbreitetes, quelloffenes, web‑basiertes Administrationswerkzeug. Konkret löste eine Schwachstelle in einem Python‑Skript das Risiko aus, Angreifern Zugang zu ermöglichen. Google gab an, den Fehler dem betroffenen Projekt im Rahmen von Responsible Disclosure gemeldet zu haben, und die Angriffsaktivitäten seien unterbunden worden.

Was Google über die mutmassliche KI‑Beteiligung sagt

Google betont ausdrücklich, dass es keinen direkten Beweis habe, dass ein bestimmtes eigenes Modell, etwa Gemini, die Lücke gefunden habe. Die Firma stützt die Vermutung auf forensische Indizien im Schadcode, darunter ein stark strukturiertes Python‑Format und weitere Merkmale, die typisch für Trainingsdaten generativer Sprachmodelle sein sollen. Diese Indizien nennt Google als Grundlage für die Formulierung, wonach eine KI‑Technik zur Identifikation der Schwachstelle genutzt worden sein könnte.

Die Mitteilung enthält nur wenige technische Details zur konkreten Ausnutzung und zur Angriffsinfrastruktur. Google veröffentlichte daher keine umfassende Exploit‑Analyse in technischer Tiefe. Andere Berichte nennen spezifische technische Komponenten in einzelnen Fällen, etwa Grafikroutinen in der Skia‑Engine, doch diese Schilderungen erscheinen nicht in allen verfügbaren Berichten und sind in der Gesamtlage nur teilweise belegt. Die verschiedentlich auftauchenden Unterschiede bei den technischen Details unterstreichen, dass nicht alle Angaben von mehreren unabhängigen Quellen bestätigt werden können.

Grössere Trends und Produktmassnahmen

Die GTIG‑Berichte ordnen den Vorfall in einen breiteren Trend ein. Für 2024 zählt Google demnach insgesamt 75 identifizierte, aktiv ausgenutzte Zero Days. Zum Vergleich nennt GTIG 63 solche Fälle für 2022 und 98 für 2023. Die Zahl für 2024 ist damit höher als 2022, aber niedriger als 2023. GTIG differenziert bei den Zielen der Angriffe zwischen Endnutzerplattformen wie Browsern und Betriebssystemen und Unternehmenssoftware. Von den 75 Zero Days betrafen 33 Unternehmenssoftware, davon 20 Sicherheits‑ und Netzwerkprodukte. 42 Zero Days zielten auf Endnutzerplattformen, wobei Browser wie Chrome besonders häufig im Visier standen.

Mastheads

Parallel zur Veröffentlichung dieser Analyse hat Google zwei Reaktionslinien beschrieben. Erstens lieferte Google ausserplanmässige Sicherheitsupdates für den Desktop‑Browser Chrome aus. Ein namentlich genanntes Problem ist die Schwachstelle CVE‑2025‑13223, eingestuft als hoch. Diese Lücke betraf die V8‑JavaScript‑Engine. Laut Beschreibung meldete ein Mitarbeiter der Threat Analysis Group, kurz TAG, den Befund. Die fixen Chrome‑Versionen wurden gestaffelt für Windows, macOS und Linux verteilt.

Nutzer können die Updates auch manuell über die Chrome‑Einstellungen anstossen und sollten den Browser nach dem Update neu starten, um die Patches wirksam werden zu lassen.

Zweitens bringt Android 16 neue zentrale Schutzfunktionen. Google beschreibt einen «Erweiterten Schutz»‑Modus, mit dem zahlreiche Sicherheitsfunktionen gebündelt aktiviert werden können. Zudem kündigt Google eine Überarbeitung von Play Protect an, die eine KI‑gestützte, codebasierte Analyse einschliesst. Als Mass für die Reichweite dieser Erkennungsinfrastruktur nennt Google die Zahl von täglich 125 Milliarden gescannten Apps. Diese Neuerungen sollen Nutzerinnen und Nutzern zusätzliche Schutzschalter und stärkere Echtzeitanalysen von Apps bieten, soweit das Betriebssystem und die Gerätesupportpolitik der Hersteller dies erlauben.

Die Berichte zu Zero Days, Exploits und Patches sind nicht in allen technischen Details deckungsgleich. Einige Beiträge nennen andere CVEs oder betroffene Komponenten, ohne dass diese Angaben durch mehrere Quellen bestätigt werden. Google selbst legte seine Schlussfolgerung zur möglichen KI‑Beteiligung bisher nur in einer eigenen Stellungnahme dar.

Für Unternehmen und Betreiber von Software ergeben sich aus den GTIG‑Daten klare Hinweise: Angriffe richten sich weiter sowohl gegen Endnutzerplattformen als auch gegen Unternehmenslösungen, mit besonderem Fokus auf Sicherheits‑ und Netzwerkprodukte. Die gestaffelte Verteilung der Chrome‑Patches und die Möglichkeit, Updates manuell anzustossen, sind kurzfristige Gegenmassnahmen. Langfristig nennen die Google‑Berichte verstärkt die Notwendigkeit, Schwachstellenmeldungen und Responsible Disclosure ernst zu nehmen und Open‑Source‑Projekte bei der schnellen Behebung zu unterstützen.

Related Articles

Die unmittelbar empfohlene Handlung ist konkret: Anwender sollen die verfügbaren Chrome‑Updates installieren, den Browser neu starten und, wo möglich, in Android 16 den «Erweiterten Schutz» aktivieren.

Dieser Artikel wurde mit KI-Unterstützung erstellt.