Fortschritte bei KI werfen Fragen zur Public-Key-Kryptografie auf
Public-Key-Kryptografie, die Mathematik, die einander unbekannten Personen eine sichere Kommunikation im Internet ermöglicht, steht laut Wordfence durch Fortschritte bei künstlicher Intelligenz (KI) möglicherweise vor einer Herausforderung. Die Warnung betrifft die Frage, ob schnellere mathematische Entdeckungen die Annahmen hinter sicheren Webtransaktionen untergraben könnten. Die Quelle berichtet nicht von einem nachgewiesenen Bruch der heutigen Webverschlüsselung, nennt keinen betroffenen Algorithmus und kündigt auch keinen dringenden Ersatz an.
Der unmittelbare Auslöser ist eine Veröffentlichung mathematischer Arbeiten, die Wordfence OpenAI zuschreibt. Dem Artikel zufolge veröffentlichte OpenAI am Tag vor dem Bericht von Wordfence mehr als 700 mathematische Beweise in einem GitHub-Repository, einer Online-Sammlung von Projektdateien. Anschließend zog OpenAI drei davon zurück. Ein Nachtrag beziffert den Umfang der Sammlung auf 722 mathematische Ergebnisse. Die Quelle erklärt weder die Rücknahmen noch belegt sie, welche Bedeutung die Ergebnisse für das Brechen von Verschlüsselung haben.
Laut Wordfence enthält die Sammlung LEAN-Beweise, also mathematische Argumentationen in einer Form, die Software überprüfen kann. Eine solche Prüfung kann ein hohes Maß an Gewissheit bieten, dass eine Schlussfolgerung logisch aus den angegebenen Annahmen folgt. Das ist jedoch etwas anderes als der Nachweis, dass ein Ergebnis eine neue Entdeckung darstellt oder ein kryptografisches System überwindet. Der Artikel beschreibt Frustration, Wut und Trauer unter Mathematikern ebenso wie außergewöhnlich begeisterte Reaktionen und verweist auf eine Diskussion auf Hacker News über die Rolle von KI in der Mathematik.
Eine auffällige Zahl stammt aus dem Beitrag eines ehemaligen OpenAI-Mitarbeiters auf X: die Behauptung, dass 81 % aller mathematischen Entdeckungen der vorangegangenen drei Jahre in dieser Veröffentlichung enthalten seien. Wordfence wiederholt diese Behauptung, liefert aber weder eine Methodik noch eine belegende Aufstellung. Sie sollte daher als Aussage der genannten Person behandelt werden, nicht als gesicherte Messung des mathematischen Fortschritts. Ebenso zitiert der Artikel die Sorge eines Kryptografen der Johns Hopkins University, die Public-Key-Kryptografie könnte verloren gehen, statt Belege dafür anzuführen, dass dies bereits geschehen ist.
Warum ist das für Website-Betreiber wichtig? Public-Key-Kryptografie verwendet zusammengehörige öffentliche und private Schlüssel. Dabei handelt es sich um mathematische Werte, die helfen, Vertrauen herzustellen und die Kommunikation zu schützen, ohne zuvor ein Geheimnis austauschen zu müssen. Ihre Sicherheit hängt davon ab, dass sich bestimmte Probleme mit den verfügbaren Rechenressourcen und mathematischen Methoden für Angreifer praktisch nicht lösen lassen. Wordfence veranschaulicht diese Hürde mit einem Arbeitsaufwand von mehreren Tausend Jahren. Das ist eine allgemeine Veranschaulichung des Artikels und keine gemessene Sicherheitsdauer für jede Website oder jeden kryptografischen Algorithmus, also ein mathematisches Verfahren zum Schutz von Informationen.
Die Sorge betrifft sowohl Veränderungen des mathematischen Wissens als auch schnellere Computer. Eine tatsächlich wirksame neue Methode könnte einen zuvor praktisch undurchführbaren Angriff ermöglichen. Sichere Webverbindungen sind auf kryptografische Schutzmechanismen angewiesen. Eine schwerwiegende Schwäche in weitverbreiteten Public-Key-Verfahren könnte daher die Vertraulichkeit und Authentizität von Online-Transaktionen gefährden. Wordfence veranschaulicht anhand von Shops auf Basis von WooCommerce und Shopify, was auf dem Spiel steht: Unternehmen sind darauf angewiesen, dass Kunden Kreditkartendaten und andere Zahlungstoken, also Ersatzwerte für sensible Zahlungsinformationen, sicher über ein Netzwerk senden können. Die Darstellung, dass Unternehmen ihren Betrieb über Nacht einstellen müssten, ist ein hypothetisches Worst-Case-Szenario und kein Bericht über einen tatsächlichen Ausfall.
Der Artikel stellt dieser Möglichkeit die Vorbereitungen auf Quantencomputing gegenüber, einen Ansatz der Datenverarbeitung, der einige heutige kryptografische Verfahren gefährden könnte. Er nennt ML-KEM, den Module-Lattice-Based Key-Encapsulation Mechanism, ein Verfahren zur Vereinbarung gemeinsamer Geheimnisse, das Angriffen mit Quantencomputern standhalten soll. Wordfence argumentiert, dass die absehbare Bedrohung durch Quantencomputer Zeit für die Entwicklung von Alternativen gelassen habe, während unerwartet schnelle mathematische Durchbrüche deutlich weniger Zeit lassen könnten. Der Artikel belegt weder, dass ML-KEM geschwächt wurde, noch, dass die neu veröffentlichten Beweise das Verfahren untergraben.
Wordfence ordnet die Warnung auch in den Kontext seiner eigenen Sicherheitsarbeit ein. Das Unternehmen gibt an, mit Mythos sowie mit Modellen von OpenAI und Anthropic zu arbeiten, die Aufgaben im Bereich Cybersicherheit bewältigen können, und deren Fähigkeiten mit menschlichen Fähigkeiten zu vergleichen. Laut Wordfence findet sein Argus-System weiterhin äußerst schwerwiegende Sicherheitslücken, also Schwächen in Software, die Angreifer ausnutzen könnten. Viele davon befinden sich im Verfahren der vertraulichen Meldung. Dieses Verfahren gibt betroffenen Entwicklern Gelegenheit, Probleme zu beheben, bevor Einzelheiten öffentlich werden. Wordfence erklärt außerdem, PRISM decke weite Teile des WordPress-Plugin- und Theme-Ökosystems ab, also der Erweiterungen und Designs, die WordPress-Websites verwenden. Einzelne Schwachstellen, betroffene Versionen oder Fehlerbehebungen werden in diesem Bericht nicht genannt.
Der Artikel argumentiert, dass Einwände gegen KI-generierte Mathematik konkurrierende Entwickler nicht aufhalten werden. Er nennt OpenAI, Anthropic, DeepSeek und Z.ai als Unternehmen, die an Mathematik und anderen schwierigen Problemen arbeiten, um die Fähigkeiten ihrer Modelle zu demonstrieren. Wordfence schlägt vor, dass KI auch bei der Entwicklung stärkerer kryptografischer Algorithmen helfen könnte, wenn sie Angriffe auf bestehende Verfahren entdecken kann. Das ist ein vorgeschlagener Lösungsansatz, keine nachgewiesene Garantie: Ersatzverfahren müssten vor ihrem Einsatz weiterhin überprüft werden.
Die praktisch wichtigste Empfehlung für die Infrastruktur lautet, kryptografische Algorithmen schnell austauschen zu können. Anwendungen brauchen einen praktikablen Weg, um auf überprüfte Alternativen umzustellen, statt auf unbestimmte Zeit von einem unveränderlichen mathematischen Verfahren abhängig zu sein. Website-Betreibern, die solche Systeme nicht selbst entwickeln, empfiehlt Wordfence, Entwicklungen in der Cybersicherheit zu verfolgen und täglich nach Software- und Systemupdates zu suchen. Das Unternehmen räumt ein, dass manche Änderungen über gewöhnliche Updates bereitgestellt werden könnten, während ein grundlegend anderer Ansatz mehr Aufwand erfordern könnte.
Der Nachtrag greift eine separate, unbestätigte Anschuldigung auf. Eine auf Bitcoin-Sicherheit spezialisierte Forschungsperson verweist in einem Beitrag auf X auf einen aus ihrer Sicht ungewöhnlich geringen Anteil kryptografischer Durchbrüche unter den 722 Ergebnissen. Sie behauptet, aus erster Hand Erfahrungen mit der Zensur akademischer Quantenkryptanalyse durch die US-Regierung zu haben, also der Forschung zu Angriffen auf Kryptografie mithilfe von Quantenverfahren, und vermutet, ein Eingreifen könnte das Fehlen solcher Durchbrüche erklären. Der vorliegende Text liefert keine Belege dafür, dass aktuelle Algorithmen heimlich gebrochen wurden oder dass diese Veröffentlichung zensiert wurde. Diese Spekulation darf nicht mit einer Sicherheitswarnung verwechselt werden.
Wordfence weist darauf hin, dass auch seine eigenen E-Commerce-Aktivitäten von Public-Key-Verschlüsselung abhängen, und argumentiert, ein umfassendes Versagen würde erhebliche Ressourcen und koordinierte Anstrengungen zur Entwicklung einer Lösung mobilisieren. Das Unternehmen verspricht, seine Kunden über notwendige Änderungen auf dem Laufenden zu halten. Für andere Website-Betreiber besteht die angemessene Reaktion darin, Software aktuell zu halten, konkrete Hinweise von Hosting- und Zahlungsanbietern zu beachten und bestätigte Sicherheitslücken von Vorhersagen zu unterscheiden. Dieser Artikel liefert einen Grund, auf Updates vorbereitet zu bleiben, aber keinen Beleg dafür, dass sichere Online-Zahlungen bereits versagt haben.