SQLite “kritiek lek” blijkt door AI gehallucineerd
AI kan ook valse beveiligingsmeldingen genereren. Voor je team betekent dit: valideer elke CVE en proof-of-concept onafhankelijk voordat je patching prioritiseert of budget vrijgeeft.
Een CVE voor een vermeende kritieke kwetsbaarheid in SQLite, met een CVSS-score van 10.0, is ingetroken. SQLite-ontwikkelaar Richard Hipp stelt dat het lek niet bestaat en dat het CVE-nummer was uitgegeven zonder voldoende verificatie.
Securitybedrijven JFrog en SuSE melden dat dit en andere kwetsbaarheden door AI-modellen zijn “gehallucineerd”. Het NCSC heeft zijn eerdere waarschuwing intussen ingetrokken.
De zaak toont aan dat AI niet alleen risico’s kan creëren, maar ook de beveiligingsworkflow kan vertroebelen met valse meldingen. Verifieer bronnen, advisories en proof-of-concepts voordat je actie onderneemt.