Wenn KI Schwachstellen schneller findet als man sie beheben kann

Im Juni sperrte die US-Regierung den Zugang zu einem Frontier-KI-Modell, nur wenige Tage nach dessen Markteinführung, mit Verweis auf die Interne Sicherheit. Zwei Wochen später wurde das Modell dann freigegeben, jedoch mit Auflagen. Und dazwischen teilte die Regierung einem anderen Unternehmen mit, dass es sein neuestes Modell nur an genehmigte Kunden freigeben dürfe.

Regierungen behandeln die leistungsfähigsten KI-Modelle inzwischen so, wie sie hochentwickelte Chips oder Verschlüsselung behandeln: zu mächtig, um sie frei zirkulieren zu lassen. Manchmal bedeutet das eine vollständige Sperre, manchmal nur die Kontrolle darüber, wer Zugang erhält. So oder so läuft es auf dasselbe hinaus. Die Werkzeuge, auf die Sie sich verlassen, können abgeschaltet oder zu den Bedingungen eines anderen wieder freigegeben werden.

Für alle, die Software betreiben, ist das eigentliche Problem aber das Ungleichgewicht. Cyberkriminelle setzen die neuesten KI-Werkzeuge frei und sofort ein, während die Einführung und Nutzung von KI auf der Verteidigungsseite langsam und vorsichtig verläuft. Diese Lücke wirkt in zwei Richtungen:

• Selbst wenn Sie das Gefühl haben, KI zu nutzen, tun Sie das mit ziemlicher Sicherheit nicht schnell genug, um mit Ihren Angreifern mitzuhalten.
• Die Werkzeuge, auf die Ihre Verteidigung angewiesen ist, stehen Ihnen möglicherweise nicht immer zur Verfügung.

In unserem früheren Beitrag zu Claude Mythos und dessen Bedeutung für das Schwachstellenmanagement haben wir die technische Seite behandelt. Dieser Beitrag geht nun tiefer auf den Teil ein, den die meisten Artikel zu dem Thema auslassen: Wie KI-gestütztes Schwachstellenmanagement den Alltag für ein normales IT-Sicherheitsteam tatsächlich verändert, und warum das Thema, wo Sie Ihre Tools zur Verwaltung Ihrer IT-Sicherheit betreiben, genauso wichtig ist, wie Sie diese betreiben.

Warum verändert KI das Schwachstellenmanagement?

Jahrzehntelang war eine offengelegte Schwachstelle am ersten Tag kein Notfall. Aus einem öffentlichen Hinweis einen funktionierenden Exploit zu machen, erforderte Können, Zeit und Aufwand, und diese Reibung verschaffte Verteidigern eine stille Sicherheitsmarge. Das Patchen im nächsten Zyklus funktionierte, weil auch die Angreifer im Ausnutzen der Schwachstelle langsam waren.

Frontier-KI-Modelle beseitigen diese Reibung. Sie lesen Code, finden Schwächen und erzeugen schnell funktionierende Exploits. Dieselbe Fähigkeit, die einem Verteidiger beim Prüfen von Code hilft, hilft einem Cyberkriminellen beim Ausnutzen desselben Codes. Daraus folgen zwei Dinge:

• Der Aufwand für einen Angriff sinkt stark, während der Aufwand für das Patchen ungefähr gleich bleibt.
• Das Zeitfenster zwischen Offenlegung und Ausnutzung  verkleinert sich gravierend, und die Sicherheitsmarge, auf die sich die meisten Teams unwissentlich verlassen haben, verschwindet.

Teams spüren das bereits. Kritische Schwachstellen werden innerhalb von Stunden offengelegt und Ausgenutzt, und Sicherheitsteams stehen unter echtem Druck, Patch-Zyklen zu verkürzen und Korrekturen fast in Echtzeit anzuwenden. Die Zahl der neu offengelegten Common Vulnerabilities and Exposures (CVEs) steigt, da Forscher diese Modelle auf ihren eigenen Code ansetzen, und die Zeit, die Ihnen und Ihr Team zum Reagieren bleibt, wird immer kürzer.

Was bedeutet das für IT-Teams?

Die meisten Beiträge dazu setzen ein ausgereiftes Sicherheitsteam mit einer eigenen Funktion voraus. Die Realität für einen großen Teil der Organisationen sieht anders aus: Ein einzelner IT-Manager oder ein kleines Team verantwortet die Sicherheit neben dem Netzwerk, dem Helpdesk und den Backups.

Die versteckte Falle: „geringes Risiko“ bedeutete oft „schwer auszunutzen“

Hier ist der Teil, der Teams überrascht: Frontier-KI ist sehr gut darin, mehrere risikoärmere Schwachstellen miteinander zu verketten. Einzeln betrachtet wirkten diese Funde unbedeutend und wurden daher als geringes Risiko niedriger priorisiert. Aber „geringes Risiko“ bedeutete in der Regel „schwer auszunutzen“, nicht „harmlos“, und KI beseitigt genau diese Schwierigkeit. Aneinandergereiht wird aus einer Handvoll Schwachstellen mit niedrigem Schweregrad ein realistischer Angriffspfad, was die Wahrscheinlichkeit eines erfolgreichen Einbruchs in Ihre IT-Infrastruktur deutlich erhöht. Daher raten wir IT-Verantwortliche dazu, Ihre Priorisierungsgewichtung zu überdenken, damit sie widerspiegelt, wie KI Schwächen kombinieren kann, und nicht nur den Schweregrad in Isolation.

Drei Veränderungen, die ein kleines IT-Team befähigen mit dem aktuellen Tempo mitzuhalten

Die Antwort ist kein Transformationsprogramm. Es geht darum, von zyklischen Ansätzen zu einem kontinuierlichen System überzugehen, das die wenigen Dinge sichtbar macht, die im Augenblick wirklich zählen:

• Bewerten Sie kontinuierlich, nicht stoßweise. Eine vierteljährliche Bewertung kann mit der aktuellen Entwicklungsgeschwindigkeit der Bedrohungslage nicht mehr mithalten. Eine neue Gefahr sollte erkannt werden, sobald sie entsteht, nicht erst drei Monate später.
• Lassen Sie das System für Sie priorisieren. Wenn viele Funde gleichzeitig eintreffen, liegt der Engpass in der Entscheidung, was zuerst behoben werden soll. Eine risikobasierte Priorisierung, die die tatsächliche Ausnutzbarkeit widerspiegelt, bewahrt ein kleines Team davor, in der Flut von Schwachstellen und Alarmmeldungen unterzugehen.
• Wissen Sie, was Sie tatsächlich im Einsatz haben. Sie können nur die Assets schützen, von denen Sie wissen. Schatten-IT und verwaiste Server sind die Stellen, Cyberkriminelle am liebsten zuschlagen, daher ist eine automatische Asset-Erkennung und Inventarisierung nicht länger optional.

Nichts davon ist exotisch. Es ist die beständige Disziplin, die plötzlich wichtiger wird, weil das Tempo gestiegen ist. Neben dem schnelleren Beheben hilft es, jede ungepatchte Lücke für einen Angreifer zu erkennen und schnellstmöglich weniger nützlich zu machen. Eine starke Segmentierung und der Zugriff nach dem Least-Privilege-Prinzip hilft schon dabei einzugrenzen, wie weit sich jemand bewegen kann, sobald er Zugriff erlangt hat.

Warum ist Souveränität für die Cyber Security in Europa wichtig?

Wenn Frontier-KI ein kontrolliertes nationales Gut ist, dann wird die vollständige Abhängigkeit von einer Infrastruktur, die Sie nicht kontrollieren, zu einem Kontinuitätsrisiko statt zu einer philosophischen oder ideologischen Präferenz. Eine einzige Anweisung in einem anderen Land kann verändern, welche Werkzeuge Sie verwenden dürfen, was mit Ihren Daten passiert und die jüngsten Ereignisse haben gezeigt, dass dies nicht länger hypothetisch ist. Für einen europäischen IT-Manager wird aus einer abstrakten politischen Debatte eine konkrete Frage: Wird die Plattform, auf die Sie sich morgen verlassen, Ihnen weiterhin zur Verfügung stehen?

Das ist kein Argument gegen US-Technologie. Es ist ein Argument für Wahlfreiheit und Resilienz. Europa braucht glaubwürdige Optionen über den gesamten Cybersecurity-Stack hinweg, von den Modellen selbst bis zu den Sicherheitsplattformen, die darauf laufen, nicht als akademische Übung, sondern als Wettbewerbsnotwendigkeit. Gerade in der Cyber Security sind die Frage, wo Sie Ihre proaktive Verteidigung aufbauen, und die Frage, wo Ihre Daten liegen, zu strategischen Entscheidungen geworden statt zu Fußnoten in der Beschaffung.

Aus dieser Motivation haben wir Holm Security gegründet. In Stockholm entstanden und in der EU gehostet, tragen wir europäische Cyber-Security-Souveränitätslabels mit Stolz. Wenn Ihre Verteidigung von Werkzeugen abhängt, die eine ausländische Anweisung über Nacht entziehen könnte, ist ein verlässlicher europäischer Partner keine Präferenz mehr, sondern Teil Ihres Risikomanagements.

Das Fazit

Sie müssen weiterhin wissen, wo Sie Angreifbar sind, wissen, was Ausnutzbar ist, welche Schwachstellen ein konkretes Risiko darstellen und entsprechend priorisieren und diese letztendlich auch systematisch beheben. Was sich verändert hat, ist die Geschwindigkeit, mit der all das geschehen muss. Hinzu kommt die Bedeutung, es auf einer Infrastruktur zu betreiben, auf die Sie sich verlassen können.

Unsere Experten beraten Sie gerne dazu, wie Sie Ihre Sicherheitslage und Reaktionszeit souverän und verlässlich verbessern können.

FAQ

1. Was ist KI-gestütztes Schwachstellenmanagement?

   KI-gestütztes Schwachstellenmanagement nutzt KI, um Schwachstellen schneller zu finden, zu priorisieren und zu beheben, als es manuelle Prozesse erlauben. Da KI sowohl das Aufspüren als auch das Ausnutzen von Schwachstellen beschleunigt, werden kontinuierliche Bewertung und risikobasierte Priorisierung unverzichtbar, um mit diesem Tempo Schritt zu halten.
   
   

2. Erhöht KI die Anzahl der Schwachstellen?

   Kurzfristig ja. Da Forscher und Softwarehersteller KI nutzen, um ihren eigenen Code zu prüfen, steigt die Zahl der offengelegten CVEs stark an. Längerfristig könnte in die Entwicklung eingebaute KI mehr Probleme erkennen, bevor Code ausgeliefert wird.
   
   

3. Was sollten IT-Teams gegen KI-beschleunigte Bedrohungen tun?

   Wechseln Sie von periodischer zu kontinuierlicher Bewertung und Analyse, priorisieren Sie nach tatsächlicher Ausnutzbarkeit statt nach reinem Schweregrad, pflegen Sie eine genaue Asset-Erkennung und betreiben Sie Ihre IT-Sicherheits-Tools auf einer Infrastruktur, die Sie kontrollieren und der Sie vertrauen. Die Behebungsgeschwindigkeit, nicht die Erkennung, ist jetzt der entscheidende Faktor.