Zusammenfassung

Laut Gartner-Analyst Craig Lawson könnten KI-Systeme wie Anthropics Mythos die Zahl neuer Schwachstellen 2027 erstmals senken. Tags: #Cyber Security | #Künstliche Intelligenz | #Schwachstelle

Im Detail

Laut Gartner-Analyst Craig Lawson könnten KI-Systeme wie Anthropics Mythos die Zahl neuer Schwachstellen 2027 erstmals senken.

Microsoft hatte in der vergangenen Woche mit über 970 Sicherheitspatches an einem einzigen Patchday einen Rekord aufgestellt – für viele Sicherheitsteams zunächst eine Horrorvorstellung.

Craig Lawson, Research Vice President beim Marktforschungsunternehmen Gartner, sieht darin jedoch ein mögliches Zwischenhoch vor einer Entlastung: Bei Gartners IT-Symposium in Australien vertrat er die These, dass die gestiegene Zahl entdeckter Schwachstellen vor allem auf verstärkten Einsatz von KI-gestützten Werkzeugen zur Fehlersuche zurückgeht – darunter Anthropics KI-System Mythos sowie vergleichbare Werkzeuge anderer Anbieter – und dass diese Systeme derzeit dabei seien, einen Großteil der in etablierten Codebasen vorhandenen Schwachstellen aufzudecken.

Historisch beispielloser Prüfumfang

„Wir hatten noch nie eine Situation, in der riesige Codebasen in diesem Ausmaß geprüft wurden.“

Craig Lawson, Gartner-Analyst

Als Beleg führte er die jüngste Serie von Schwachstellen im Betriebssystem OpenBSD an, das historisch als besonders sicher und stabil gilt – aus seiner Sicht ein Zeichen dafür, dass KI-gestützte Fehlersuche hier tatsächlich aufräumt.

Auch Sicherheitsanbieter, die eigentlich wissen sollten, wie man sichere Produkte baut, setzten zunehmend selbst KI ein, um Schwachstellen in der eigenen Software zu finden – auch das deute laut Lawson darauf hin, dass KI mögliche Angriffswege für bislang unbekannte Schwachstellen (Zero-Day-Lücken) systematisch schließe.

Rückgang bei Schweregrad statt Zahl erwartet

Die hohe Zahl an 2026 gemeldeten Schwachstellen wertet Lawson deshalb grundsätzlich als positives Signal. Er geht davon aus, dass Hersteller KI-Werkzeuge wie Mythos künftig auch verstärkt einsetzen werden, um neue Softwareversionen bereits vor der Veröffentlichung gründlicher zu testen.

Für 2027 erwartet er deshalb einen möglichen Rückgang bei den gemeldeten Schwachstellen – wobei er präzisiert, dass sich dieser eher beim Schweregrad als bei der Gesamtzahl zeigen dürfte: „2027 könnte das erste Jahr sein, in dem wir einen Nettorückgang sehen – vielleicht nicht bei der Gesamtzahl der Schwachstellen, aber definitiv beim Schweregrad der Lücken.“

Tägliches Red-Teaming und schnellere Fehlerbehebung

Lawson erwartet zudem bessere Werkzeuge für Verteidiger. Bislang seien sogenannte Red-Team-Übungen, bei denen Angriffe auf die eigene Infrastruktur simuliert werden, seltene und kostspielige Vorhaben, für die meist externe Dienstleister beauftragt würden. KI-gestützte Fehlersuche könnte es Organisationen dagegen ermöglichen, praktisch täglich eine Art Red-Team-Übung durchzuführen.

Ergäben sich daraus Aufgaben zur Fehlerbehebung, könne KI Sicherheitsanalysten zudem helfen, passende Lösungen schneller zu identifizieren: „Was, wenn ich drei Minuten investieren könnte, um bei Gemini einzugeben ‚Schreibe die Syntax für eine F5-IRule‘, und das wird zu einem virtuellen Patch? Jeder kann Bedrohungsanalysen und Anreicherung übernehmen, manche dieser anspruchsvolleren Aufgaben.“

Andere Erfolgsmessung gefordert

Lawson plädierte abschließend dafür, den Erfolg von Sicherheitsteams künftig anders zu messen. Sicherheitszentralen bewerteten Mitarbeitende heute meist nach der Zahl bearbeiteter und geschlossener Tickets; sinnvoller wäre es aus seiner Sicht, stattdessen zu würdigen, wenn Verteidiger etwa ein Krankenhaus betriebsfähig gehalten oder einen Ransomware-Angriff gestoppt haben.

(red)

Tags: #Cyber Security | #Künstliche Intelligenz | #Schwachstelle