activesearch
Gespräch vereinbaren
Gespräch vereinbaren

Von Jan Schneider

KI findet Sicherheitslücken schneller, als sie geschlossen werden

Software hat Fehler, und manche davon sind Sicherheitslücken. Sie zu finden war bisher aufwendige Handarbeit für wenige Fachleute. Seit diesem Frühjahr ist klar, dass KI-Modelle diese Arbeit in großem Umfang übernehmen können. Das ist zunächst eine gute Nachricht für alle, die Software verteidigen. Es verschiebt aber auch, worauf es in Unternehmen ankommt.

Was passiert ist

Im April 2026 hat das KI-Unternehmen Anthropic das Projekt Glasswing vorgestellt. Ein Modell namens Mythos Preview, das nicht öffentlich verfügbar ist, durchsuchte dabei verbreitete Software nach Schwachstellen. Nach Angaben des Unternehmens fand es Tausende bisher unbekannte Lücken mit hohem Schweregrad, darunter in allen großen Betriebssystemen und Browsern.

Zwei Beispiele zeigen, wie gründlich das Modell vorging:

  • In OpenBSD, einem Betriebssystem, das für seine Sicherheit bekannt ist, fand es einen 27 Jahre alten Fehler. Er erlaubte es, einen Rechner aus der Ferne zum Absturz zu bringen.
  • In FFmpeg, einer Bibliothek, die in unzähligen Programmen Video verarbeitet, fand es einen 16 Jahre alten Fehler in einer Codezeile, die automatische Testwerkzeuge zuvor rund fünf Millionen Mal durchlaufen hatten.

Anthropic gibt das Modell nur an einen ausgewählten Kreis von Partnern weiter, darunter Microsoft, Google, Apple, Amazon Web Services, Cisco, CrowdStrike und die Linux Foundation. Die Idee dahinter: Verteidiger sollen einen Vorsprung bekommen, bevor sich solche Fähigkeiten verbreiten.

Wie das in der Praxis aussieht, hat Mozilla gezeigt. Das Team prüfte Firefox 150 mit dem Modell, fand 271 Schwachstellen und hat sie behoben. Mozilla schrieb dazu, man habe bisher keine Art von Lücke gefunden, die Menschen entdecken können und das Modell nicht. Im Mai berichtete Anthropic, die inzwischen rund 50 Partner hätten zusammen mehr als 10.000 Lücken mit hohem oder kritischem Schweregrad gefunden.

Einordnung

Die meisten Zahlen stammen von Anthropic selbst. Unabhängig bestätigt sind einzelne Funde, etwa die von Mozilla. Die Richtung ist trotzdem eindeutig: KI-Modelle erreichen bei der Suche nach Schwachstellen das Niveau erfahrener Fachleute, und sie arbeiten viel schneller.

Damit verschiebt sich der Engpass. Eine gefundene Lücke ist erst geschlossen, wenn ein Mensch sie geprüft, dem Hersteller gemeldet und der Hersteller einen Patch ausgeliefert hat. Dieser Teil skaliert nicht im selben Tempo. Und eine Lücke ist erst behoben, wenn das Update auch beim Anwender installiert ist.

Hinzu kommt: Was heute nur ausgewählte Partner nutzen, wird sich verbreiten, früher oder später auch zu Angreifern. Sicherheitsforscher berichten bereits, dass kriminelle Gruppen KI für ihre Angriffe einsetzen.

Was das für Ihr Unternehmen heißt

Für die meisten Unternehmen ist die wichtigste Folge unspektakulär. Hersteller finden und schließen ihre Lücken jetzt schneller. Davon profitieren Sie nur, wenn Sie die Updates auch einspielen.

  • Updates zügig installieren. Betriebssysteme, Browser, Firewalls, VPN-Zugänge und Server-Software zuerst. Automatische Updates dort einschalten, wo es möglich ist.
  • Wissen, was läuft. Eine aktuelle Liste Ihrer Systeme und Programme ist die Voraussetzung, um zu wissen, was ein Update braucht.
  • Altlasten abschalten. Software ohne Herstellerunterstützung bekommt keine Patches mehr. Was nicht mehr gebraucht wird, sollte vom Netz.
  • Dienstleister fragen. Wenn ein IT-Dienstleister Ihre Systeme betreut, fragen Sie, wie schnell er kritische Updates einspielt.

Nichts davon ist neu. Neu ist, dass die Zeit zwischen dem Bekanntwerden einer Lücke und ihrem Ausnutzen kürzer werden dürfte. Wer heute einen verlässlichen Update-Prozess hat, ist für diese Entwicklung gut aufgestellt.

Quellen