"Wir haben da einen ganz fiesen Exploit für Firefox"* (anthropic)
*entsprechender Exploit für Firefox:
- simulierter Content Process
- Defense in Depth Maßnahmen von Firefox inaktiv
- außerhalb der Sandbox
Ja toll, je tiefer du den Sachen auf den Grund gehst, desto spezifischer und erratischer werden die Findings.
Nfs Exploit:
Braucht 2 User. 2 kooperierende User.
Nicholas Carlini, Research Scientist, Anthropic, speaks at [un]prompted 2026 on: Black-hat LLMs.Large language models are now capable of automating attacks t...
"Wir haben da ein ganz besonders gutes, aber hochgradig spezifisches Tool gebaut. Sein Nutzen ist mit Glück bei bestimmten Edge Cases voll hoch, aber leider produziert es halt eher nur Edge Cases oder Nieten. Aber guck, was es alles produziert"
Das ist nicht, wie Security funktioniert.
@bkastl
Es gibt ja diese bekannte Analyse bezüglich Kosten für Security zu Zeitpunkt im SDLC.
Ich bin es ja gewohnt, dass man absurde intellektuelle Kopfstände macht, um Security trotzdem so spät und mit so wenig menschlichem Denken wie möglich zu machen (🤷🏻♂️), aber das ist jetzt eine neue Eskalation 🤣
@bkastl Deine Kritik ist nicht so ganz angebracht: 1) Zu Firefox: alle diese Bugs waren sehr gut, wir haben auch sandbox-escape exploits gesehen. Dass wir die "sec-high" nennen, ist nach gründlicher Analyse passiert. 2) NFS ist ziemlich oft "offen für alle im Netzwerk". Wenn der Angreifer 1 socket aufmachen kann, kann er auch 2 aufmachen.
Was ich sagen will: ich mach seit über 15 Jahren Security. Ich habe die Bugs gesehen. Sie sind wirklich krass.
@monoxyd @bkastl @luca Der Vergleich ist nicht schlecht, aber er hat seine Grenzen.
In der Softwareentwicklung ist es durchaus so, dass man bei tieferliegenden Komponenten (hier der "Content Process") gewisse Absicherungen aus Performancegründen weglässt, wenn die höheren Schichten die entsprechenden Punkte bereits vertrauenswürdig umsetzen. Wenn man diese höheren Schichten für den Test ausknipst, bleibt statt einem schockierten Pikachu halt nur noch "NON? SI! OHHHH!".
@zappes Ja, so hab ich es verstanden.
Das Bild war ein bisschen gemeint als "Wenn ich die Autositze (samt Gurten) ausbaue, brauch ich mich nicht wundern, wenn das Crash Test Dummy beim Aufprall durch die Gegen fliegt."
Und na klar: "Jeder Vergleich hinkt." (Marcus Richter, frühe 00er Jahre) :P
Bianca Kastl
Kevin Karhan
Daniel Fisher(lennybacon)
koehntopp ~ :
Frederik Braun �
Señor Rolando
Marcus Richter
Zappes
Navi 
