Passwort - der Podcast von heise security

Im Podcast gibt es einen Kessel voll hörenswerter Bugs und Lücken. Solche, die clever sind, aber leicht vermeidbar wären. Solche, die längst bekannt sind und trotzdem noch Probleme bereiten. Bugs, die technisch interessant sind, aber dem Urheber peinlich sein sollten. Wobei diese Kategorien sich durchaus überlappen. Außerdem wurden die Hosts auf eine interessante Alternative zu BGP gestupst und sie sprechen einen TLS-Handshake ein – das gibt’s wohl nur im Passwort- Podcast.

Endlich wieder Aufnahmetag, die Themen stapeln sich schon! Sylvester und Christopher nutzen den Warntag, um vor allerlei Sicherheitsproblemen zu warnen. Den Auftakt macht diverser Kleinkram rund um Certificate Transparency und dann geht der Blick in die Bundeshauptstadt. Wie die Ransomware-Gangster von Rhysida ins Netz zweier Berliner Senatsverwaltungen kamen und was Steganografie damit zu tun hat, erklärt Christopher. Der darf sich wiederum später erklären lassen, welche Tricks Angreifer im Routingsystem ausnutzen, um Schadsoftware zu verbreiten und - obligatorisches KI-Thema -, wie ein findiger Sicherheitsforscher Claude Code Malware unterschob.

Außerdem üben die Hosts sich in der Kunst der Reduktion (ja, wirklich!): Sie...

Die KI-Themen lassen den Podcast ebenso wenig los, wie sie die IT- Security allgemein in Frieden lassen. Christopher und Sylvester beißen sich durch, unter anderem geht es um Wasserzeichen in KI-Texten und immer noch um frei drehende KI-Agenten. Immerhin: Mit Key-Transparency in Messengern und Certificate-Transparency-Problemen DigiCerts haben die Hosts zwei aktuelle Themen gefunden, die nicht nur sehr transparent klingen, sondern auch nichts mit KI zu tun haben.

Die Aufzeichnung enthält leider einen mitunter deutlichen Versatz der Audiospuren, sodass sich die Hosts ins Wort zu fallen scheinen. Der Fehler fiel zu kurz vor Veröffentlichung auf, um ihn zu korrigieren, wir bitten...

Die KI-Agenten greifen an! Das ist zumindest auf den ersten Blick die Essenz der Berichte über LLM-basierte künstliche Sicherheitsforscher, die bei Experimenten und im Training ausbrachen, fremde Systeme knackten und anderes Schindluder trieben. Christopher und Sylvester schauen in dieser Folge genauer hin und entdecken vor allem eins: Eine gefährliche Fahrlässigkeit der Unternehmen und Institutionen, die ihre KI-Agenten äußerst nachlässig einsperren und noch nachlässiger überwachen.

Die Ereignisse rund um den Huggingface-Hack sowie das aus dem Ruder gelaufene Experiment des britischen "AI Safety Institute" dienen als inhaltliche Anker für die Folge. Dass KI Lug und Trug als legitimes Handwerkszeug versteht und vor...