Die nationale Sicherheit erfordert die Sicherung moderner KI-Workloads

Während KI-gesteuerte Codierpraktiken und Workload-Modifikationen behaupten, die Missionsergebnisse zu beschleunigen, führen sie auch zu Systemverwundbarkeiten. Die Herausforderung ist gut verstanden – die heutigen Verwundbarkeitsmanagement-Praktiken können nicht mit den schnell evolvierenden KI-Tools Schritt halten, was letztendlich das Risiko für Truppen, die operationale Missionen durchführen, erhöht.

Wenn man weiß, dass seine Tools erfolgreich sein werden, ob es sich um ein M27 IAR oder die KI-gesteuerte taktische C2 handelt, die Feuer auf das Ziel richtet, verleiht dies Vertrauen im Feld. Wenn es um Software-Systeme geht, können sie durch die Beseitigung von Software-Container-Risiken durch umfassende Software-Lieferkettensicherheit (SSC) zuverlässiger gemacht werden.

Container-Verwundbarkeiten sind ein zunehmendes Risiko in der Verteidigungssoftware

Jede software-gesteuerte Organisation kämpft mit container-bezogenen Sicherheitsverwundbarkeiten. Das Verteidigungsministerium (DoW) zielt darauf ab, den operativen Truppen die besten Systeme bereitzustellen, aber dies erhöht das Risiko. Der Grund dafür ist, dass die meisten Missions-Systeme auf Core-Software von Linux-Distributionen und Community-Software-Basen mit übermäßig großen Software-Baselines basieren. Systeme, die auf dieser Open-Source-Software aufbauen, enthalten typischerweise bekannte und unbekannte Kritische Verwundbarkeiten und Exposures (CVEs).

Um dieses Problem anzugehen, reduzieren kuratierte Bilder, die Fixes für diese CVEs enthalten, dramatisch die Angriffsfläche. Darüber hinaus stellt unnötiger Code ein zusätzliches Risiko dar, da dieser Code CVEs verbergen kann. Die Bereitstellung von gehärteten Software-Bildern mindert dieses Risiko, indem unnötiger Code eliminiert wird. Ohne Härtung erhöht der überschüssige Code die verwundbare Angriffsfläche und führt zu versteckten CVEs. Es ist auch wichtig, jedes CVE im Kontext zu bewerten, in dem es auftritt. CVEs sind in den Umgebungen, Betriebssystemen und Hardware ausführbar, in denen sie reproduzierbar sind. Intelligente Scans, Profile und Verständnis der Produktions-Software bestimmen, ob jedes einzelne CVE die Zielumgebung beeinträchtigt und welche CVEs dupliziert und in mehreren Paketen auftauchen.

KI-Codier-Tools vergrößern das Problem

KI-Codier-Tools sind ressourcenintensive Motoren, die zum Entwickeln, Trainieren und Bereitstellen von Modellen verwendet werden, aber oft auf Endzustände anstelle von optimierten operativen Rechen- und Speicherressourcen fokussieren. Als Ergebnis verstärken sie Sicherheitsprobleme, indem sie unwillkürlich Open-Source-Distributionen anstelle von kuratierten und gehärteten Bildern verwenden.

Heutige KI-Codier-Tools ändern sich ständig, haben viele Open-Source-Abhängigkeiten und werden umfassender eingesetzt als traditionelle Tools. Modelle, Frameworks und unterstützende Dienste werden täglich oder wöchentlich aktualisiert, anstelle von quartals- oder jährlich, und jedes nicht gehärtete Software-Artefakt, das durch diese Tools implementiert wird, vergrößert das Risiko. Diese sind keine neuen Risiken, aber mit KI beschleunigen sie sich nun. Als Beispiel wachsen die Verwundbarkeits-Backlogs schneller, da mehr Software bereitgestellt wird. Als Beweis hatte die CVE-Liste im Jahr 2025 durchschnittlich 132 neue Verwundbarkeiten pro Tag, was 20 % mehr als im Vorjahr und dreimal so viel wie im Jahr 2020 war.

Schlechte Verwundbarkeitsverwaltung hat operationelle Konsequenzen

Operationelle Konsequenzen einer schlechten Verwundbarkeitsverwaltung umfassen:

• Einschränkungen von ATO-zugänglichen Technologien, mit weniger KI-Tools, die für die Produktion genehmigt sind
• Verlangsamung der KI-Bereitstellung, da Container-Stacks die Compliance auf Mission-Zeitplänen verfehlen
• Unfähigkeit, mit den Taktiken der Gegner-KI zu konkurrieren, was das Missionsrisiko erhöht
• Wiederkehrende hohe finanzielle Kosten, die zur Verwaltung von Verwundbarkeits-Backlogs erforderlich sind
• Hoch qualifizierte Ingenieure, die sich auf die Verfolgung und Patching von CVEs konzentrieren, anstelle von neuen Fähigkeiten

Mit oder ohne KI müssen Verwundbarkeitsmanagement-Praktiken für DoW-Lösungen die Mission-Zeitpläne erfüllen. KI-gesteuerte Plattformen müssen die Cybersicherheit verbessern, anstelle von Sicherheitsrisiken zu erhöhen. Lösungen der Wahl müssen Laufzeit-relevante Expositionen angehen, CVE-Zahlen reduzieren und es autorisierenden Beamten ermöglichen, zwischen Rauschen und Missionsauswirkungen zu unterscheiden. Durch die Lösung dieses Problems werden Einheiten davon abgehalten, Einzel-Härtungs-Bemühungen zu verfolgen und eine konsistente, datengetriebene Pipeline zu schaffen.

Der Gewinnansatz für die nationale Verteidigung

Der beste sichere Prozess ist einer, der schnellere, sicherere KI-gesteuerte Operationen, eine stärkere Zero-Trust-Container-Basis und hochwertige Software-Lieferkettensicherheits-Daten für Kommandeure ermöglicht.

Verteidigungsbehörden sollten mit near-zero-CVE-Bildern beginnen und dann zusätzliche Verwundbarkeiten durch das Entfernen nicht verwendeter Komponenten anstelle von Patching reduzieren, um akzeptable Risikopfade zu reduzieren. Gehärtete Bilder resultieren in kleineren Angriffsflächen und klaren Risiko-Narrativen, um die Akkreditierung von KI-gesteuerten Systemen zu beschleunigen, und befreien Cyberteams, um sich auf höher priorisierte Missionen anstelle von endlosen Verwundbarkeits-Triage zu konzentrieren.

Darüber hinaus bieten Software-Rechnungen (SBOMs), Laufzeit-Rechnungen (RBOMs) und gehärtete Bilder Operatoren und Sicherheitsteams eine geschichtete, laufzeit-genaue Ansicht von containerisierten KI-Workloads. Dieser Ansatz unterstützt direkt die Zero-Trust-Prinzipien und stimmt mit den Anforderungen der Software-Lieferkettensicherheit der Enduring Security Framework (ESF)-Teams überein, um zu zeigen, was in der Software enthalten ist, ihr Verhalten und Liefermechanismen.

Die Reifung von DoW-Risikobewertungs- und Attestierungspraktiken sollte durch die Begleitung von Containern mit maschinenlesbaren Artefakten und technischen Sicherheitsbulletins begleitet werden. Dies ermöglicht es Entwicklern und Operatoren, sich für erforderliche Container zu abonnieren und konsistente Risikobewertungen und Warnungen zu erhalten, wenn neue Probleme auftauchen. Für das Kommando handelt es sich um ein praktisches “Check-Engine-Licht” auf kritischen Software-Stacks, um Entscheidungen zu treffen, um über die kommerzielle Entdeckung hinaus in die direkte Missionsausrichtung mit der Geschwindigkeit von KI-gesteuerter Operation zu gelangen.