Linux-Entwickler gibt auf: Geheime Sicherheitslücke gemeldet

Andy Nguyen beendet sein PS5-Linux-Projekt, nachdem KI-gestützte Modder eine geheim gehaltene Sicherheitslücke an Sony meldeten.

Der Sicherheitsforscher Andy Nguyen, bekannt unter dem Namen TheFlow0, hat sein Projekt PS5 Linux nach eigenen Angaben aufgegeben. Das öffentlich auf GitHub verfügbare Projekt macht kompatible PlayStation-5-Konsolen der ersten Generation zu vollwertigen Linux-Rechnern, auf denen sich unter anderem Steam, Emulatoren und ein vollständiger Ubuntu-24.04-Desktop betreiben lassen. Grundlage ist eine Schwachstelle im sogenannten Hypervisor der Konsole, die über mehrere Firmware-Versionen hinweg ausgenutzt wird.

Bewusst zurückgehaltene Schwachstelle

Nach eigener Darstellung hatte Nguyen bereits die letzte noch bekannte Hypervisor-Schwachstelle in der PlayStation 5 Pro gefunden, diese aber bewusst nicht an Sony gemeldet, um damit auch für das Pro-Modell eine Linux-Unterstützung entwickeln zu können. Als andere Modder, unterstützt durch KI-Sprachmodelle, dieselbe Lücke ebenfalls entdeckten, bat Nguyen sie eigenen Angaben zufolge darum, mit einer Meldung an Sony zumindest bis nach dem Erscheinen von Grand Theft Auto VI zu warten – auch damit Interessierte die Konsole so lange sowohl für das Spiel als auch für Linux nutzen könnten. Die Modder hätten zunächst zugestimmt, die Lücke aber laut Nguyen bereits am nächsten Tag doch über Sonys Bug-Bounty-Programm gemeldet.

Deutliche Kritik an der Modding-Szene

In einer emotionalen Nachricht auf der Plattform X erklärte Nguyen:

„Ich ziehe mich aus der PS5-Szene zurück und stelle jegliche Arbeit an PS5 Linux ein. Nach Monaten voller Herzblut, inklusive der Pläne, die PS5-Pro-Unterstützung fertigzustellen und 2027 zu veröffentlichen, ist das jetzt alles den Bach runter.“

Anzeige

Andy Nguyen, Linux-Entwickler

Die heutige Modding-Szene bestehe seiner Einschätzung nach nur noch aus „einem Haufen Anfänger, die mit LLMs arbeiten und Hacks schreiben, die sie selbst nicht verstehen“; die Personen, die die Schwachstelle gemeldet hatten, bezeichnete er abschätzig als „Slop Kiddies“ – ein Begriff, der sich vom englischen „AI slop“ für minderwertige, KI-generierte Inhalte ableitet.

Strukturelles Spannungsfeld statt reiner Einzelfall

Mehrere Fachmedien ordnen den Konflikt als strukturelles Problem ein: Bug-Bounty-Programme belohnen grundsätzlich diejenigen, die eine Schwachstelle zuerst melden, was der in der Homebrew-Szene üblichen Praxis widerspricht, Sicherheitslücken über längere Zeit geheim zu halten, um sie für eigene Projekte nutzbar zu halten. Sonys Bug-Bounty-Programm habe in diesem Fall schlicht wie vorgesehen funktioniert. Das PS5-Linux-Projekt selbst bleibt trotz Nguyens Rückzug unter der GPL-3.0-Lizenz öffentlich zugänglich; die Firmware-Unterstützung wurde inzwischen von anderen Beitragenden auf die Versionen 3.00 bis 7.61 sowie das Modell PS5 Slim ausgeweitet, während die Unterstützung für die PS5 Pro nach Nguyens Ausstieg offen bleibt.

(red)