❦The Daily Commit❦ ☾The Nightly Build☽

Das Sicherheitsunternehmen AISLE berichtet, dass sein autonomes KI-Analysesystem sechs Schwachstellen in curl gefunden hat, die in curl 8.22.0 CVE-Nummern erhielten, kurz nachdem zwei KI-Sicherheitswerkzeuge der Frontier-Labors offenbar nichts gefunden hatten.

Laut AISLE schrieb curl-Gründer Daniel Stenberg am 24. August 2026, dass nur drei CVEs für das nächste Release ausstanden, und notierte, dass Anthropic Mythos keine weiteren Probleme fand und OpenAI Codex Security eine leere Liste zeigte. AISLE ließ daraufhin sein System gegen curl laufen, das 29 Berichte erzeugt haben soll. Am nächsten Tag veröffentlichte Stenberg den Vergleich: Mythos 0, AISLE 29.

Von den 29 Meldungen wurden sechs innerhalb weniger Tage vom curl-Sicherheitsteam geprüft und als CVE-würdig eingestuft: CVE-2026-80229 (OpenSSL-Provider-Use-after-free), CVE-2026-80230 (OpenSSL-Pinning-Umgehung), CVE-2026-80231 (Wiederverwendung von Verbindungen mit nativem CA-Store), CVE-2026-80255 (Umgehung des Secure-Attributs per Tabulator), CVE-2026-82208 (wolfSSL-CA-Cache-Treffer überschreibt Callback) und CVE-2026-82209 (domänenbezogener Public-Suffix-Cookie).

Alle sechs sind als Low eingestuft, was AISLE auf die hohe Reife der curl-Codebasis zurückführt: Verbleibende Fehler verstecken sich in engen Konfigurationen und subtilen Wechselwirkungen. Alle sechs wurden in curl 8.22.0 behoben und nennen Stanislav Fort von AISLE als Melder. Drei wurden am 24. August gemeldet, zwei am 26. und einer am 27. August 2026. Bis zum 28. August war die Zahl der ausstehenden curl-CVEs von drei auf zehn gestiegen, sechs davon von AISLE.

AISLE sieht darin eine sauberere Bewertung als übliche KI-Sicherheits-Benchmarks, da das Null-Ergebnis der Basissysteme vor dem eigenen Lauf öffentlich und mit Zeitstempel dokumentiert war und die curl-Maintainer unabhängig entschieden, welche Funde real und CVE-würdig waren. Greg Kroah-Hartman, Maintainer der stabilen Linux-Releases, antwortete auf Stenbergs Beitrag, er beobachte dasselbe Muster bei Linux. AISLE wertet das Ergebnis als Beleg für seine These, dass spezialisierte KI-Systeme Frontier-Modelle bei der Suche nach echten Zero-Days schlagen können.