KI kann mehr Schwachstellen als je zuvor aufdecken. Doch was als Nächstes geschieht, müssen weiterhin Menschen entscheiden.

Seit Jahren gehen Cybersicherheitsteams von einer einfachen Annahme aus: Wenn wir mehr Schwachstellen schneller finden könnten, würde Software sicherer werden.

Künstliche Intelligenz stellt diese Annahme auf die Probe. Während sich die breitere KI-Debatte von der schnellen Einführung hin zum messbaren Nutzen verlagert, macht die Cybersicherheit eine Herausforderung sichtbar, die auch bei nachlassender KI-Dynamik nicht verschwinden wird. Unternehmen sehen sich bereits mit einer wachsenden Zahl KI-generierter Schwachstellenhinweise konfrontiert, die weiterhin von Menschen überprüft, priorisiert und behoben werden müssen.

Aktuelle Erkenntnisse aus Project Glasswing liefern eines der bisher klarsten Beispiele. Claude Mythos Preview hat Berichten zufolge innerhalb weniger Monate in verschiedenen Softwareprojekten mehr als 26.000 Hinweise auf Schwachstellen gefunden. Einer unabhängigen Analyse des öffentlichen Offenlegungsverzeichnisses von Glasswing zufolge sind jedoch nur etwa 10 % dieser Hinweise in den Offenlegungsprozess gelangt, und letztlich wurden weniger als 1 % behoben.

Diese Zahlen sind bemerkenswert, sollten aber nicht überraschen. Die Branche hat jahrzehntelang die Suche nach Schwachstellen optimiert. Was sie nicht aufgebaut hat, ist die Kapazität, Schwachstellenhinweise im Umfang zu bearbeiten, den KI ermöglicht.

Der Engpass in der Cybersicherheit liegt nicht mehr beim Aufspüren von Schwachstellen. Entscheidend ist, was danach geschieht.

Schwachstellen zu finden war nie der schwierigste Teil

In einem frühen Update zu Project Glasswing wies Anthropic darauf hin, dass Fortschritte zunehmend nicht durch die Suche nach Schwachstellen begrenzt würden, sondern durch die menschliche Arbeit, die nötig sei, um Meldungen zu überprüfen, Offenlegungen zu koordinieren und die Behebung zu unterstützen. Das Unternehmen merkte außerdem an, dass einige Maintainer um eine langsamere Offenlegung gebeten hätten, weil ihnen die Kapazität fehlte, die erzeugte Menge an Hinweisen zu bearbeiten.

Diese Unterscheidung ist wichtig, denn das Aufspüren und das Beheben von Schwachstellen sind grundlegend verschiedene Tätigkeiten.

Das Aufspüren von Schwachstellen ist zunehmend eine Frage der Mustererkennung. Moderne KI-Systeme sind hervorragend darin, große Codebasen zu analysieren, ungewöhnliches Verhalten zu erkennen, Ausführungspfade nachzuverfolgen und potenzielle Schwachstellen aufzudecken.

Die Behebung ist etwas anderes. Um eine Schwachstelle zu beheben, braucht es Kontext. Jemand muss feststellen, ob das Problem tatsächlich besteht, die möglichen Auswirkungen verstehen, mögliche Lösungen bewerten, sicherstellen, dass Änderungen keine Regressionen verursachen, Offenlegungszeitpläne abstimmen, mit Beteiligten kommunizieren und letztlich die Verantwortung für das Ergebnis übernehmen.

Dieser letzte Punkt ist entscheidend. KI kann eine mögliche Schwachstelle erkennen, aber sie kann nicht für das verantwortlich gemacht werden, was danach geschieht. Überprüfen, priorisieren, beheben und melden können weiterhin nur Menschen, die für das von ihnen betreute Projekt Verantwortung tragen. Das kostet Zeit – und die Betroffenen haben oft einen Vollzeitjob, eine Familie und weitere Verpflichtungen, die ihre Aufmerksamkeit beanspruchen. Bei vielen Open-Source-Projekten ist nicht der Einblick in Risiken der begrenzende Faktor, sondern die Fähigkeit der Maintainer und Sicherheitsteams, eine ständig wachsende Zahl von Hinweisen verantwortungsvoll zu bewerten und darauf zu reagieren.

Das ist der grundlegende Unterschied zwischen dem Aufspüren und dem Beheben von Schwachstellen. Beim Aufspüren kann KI uns zunehmend dabei helfen, den Umfang zu vergrößern. Die Behebung hängt weiterhin von Menschen ab, die über den nötigen Kontext, die Befugnis und die Verantwortung verfügen, um auf die von der KI gefundenen Schwachstellen zu reagieren.

Die Herausforderung bei Open Source

Besonders deutlich zeigt sich diese Dynamik im Open-Source-Ökosystem. Da Open-Source-Komponenten in 98 % der kommerziellen Codebasen enthalten sind, stützt sich der überwiegende Teil der digitalen Infrastruktur weltweit auf Projekte, die von vergleichsweise kleinen Gruppen von Mitwirkenden betreut werden.

In vielen Fällen sind die Menschen, die für die Pflege dieser kritischen Software verantwortlich sind, Freiwillige oder Personen, die neben ihren Aufgaben für das Projekt auch einen Vollzeitjob und persönliche Verpflichtungen bewältigen. Wenn KI die Menge an Software und den darin entdeckten Schwachstellen vergrößert, wird die Fähigkeit dieser Maintainer, Schritt zu halten, zu einem immer wichtigeren Faktor für die Sicherheit.

Wenn ein KI-System plötzlich Hunderte oder Tausende potenzielle Hinweise in einem Projektökosystem erzeugt, werden die Maintainer zum begrenzenden Faktor.

Das ist keine Kritik an den Maintainerinnen und Maintainer. Es ist ein Spiegel der Realität.

Schon vor dem Aufkommen der KI-gestützten Suche nach Schwachstellen hatten viele Open-Source-Projekte mit knappen Ressourcen, steigenden Sicherheitserwartungen und wachsendem Wartungsaufwand zu kämpfen. KI erhöht den Druck auf ein System, das bereits stark belastet war.

Die Herausforderung besteht nicht nur darin, festzustellen, ob eine Schwachstelle existiert. Sie liegt in allem, was danach geschieht.

Jemand muss die Meldung prüfen. Jemand muss das Problem reproduzieren. Jemand muss entscheiden, ob ein Sicherheitsrisiko vorliegt. Jemand muss eine Lösung entwickeln und testen. Jemand muss die Offenlegung koordinieren und Updates veröffentlichen. Diese Aufgaben lassen sich nicht einfach automatisieren.

Mit der weiter steigenden Zahl KI-generierter Hinweise werden Unternehmen, die auf Open-Source-Software setzen, zunehmend auf die Gesundheit und langfristige Tragfähigkeit der Menschen angewiesen sein, die sie betreuen.

Vorbereitung auf den Anstieg KI-gestützter Schwachstellensuche

Was also sollten Unternehmen tun? Erstens müssen sie erkennen, dass KI-gestützte Schwachstellensuche kein Problem der Zukunft ist. Sie findet bereits statt. Project Glasswing hat gezeigt, dass Spitzenmodelle Schwachstellen in einem Ausmaß aufdecken können, das noch vor wenigen Jahren kaum vorstellbar gewesen wäre.

Zweitens sollten Sicherheitsverantwortliche prüfen, ob ihre Prozesse zur Behebung von Schwachstellen mit den wachsenden Möglichkeiten zu deren Entdeckung Schritt halten können. Viele Unternehmen haben viel in das Aufspüren von Schwachstellen investiert, aber zu wenig in die Mitarbeitenden und Prozesse, die für deren Behebung zuständig sind.

Drittens sollten Unternehmen die Softwarewartung stärker als Sicherheitsaufgabe berücksichtigen. Bei Sicherheit geht es oft um Prävention und Erkennung, doch die langfristige Wartung gehört nach wie vor zu den wichtigsten und am wenigsten gewürdigten Bestandteilen des Risikomanagements. KI mag es zwar erleichtern, Schwachstellen zu finden, doch sie mindert nicht die Verantwortung, kritische Software dauerhaft sicher zu halten. Unternehmen brauchen eine Strategie für die Verantwortung über den gesamten Lebenszyklus, die eine gezielte Modernisierung ermöglicht, statt sie bei neu auftretenden Risiken zu überstürzten Migrationen oder reaktiven Behebungsmaßnahmen zu zwingen.

Schließlich sollten Unternehmen auch die Ökosysteme unterstützen, von denen sie abhängig sind. Da KI die Entdeckung von Schwachstellen in quelloffener Software beschleunigt, werden die Anforderungen an die Maintainer steigen. Die Sicherheit der Softwarelieferkette hängt letztlich davon ab, ob diese Maintainer über die nötigen Ressourcen verfügen, um darauf zu reagieren.

KI kann Schwachstellen schneller finden. Doch allein dadurch wird Software nicht sicher. Schwieriger ist es, Risiken zu bewerten, das Wesentliche zu priorisieren, geprüfte Fehlerbehebungen bereitzustellen und Software dauerhaft sicher zu halten. Mit der beschleunigten Entdeckung von Schwachstellen benötigen Unternehmen die Fähigkeit, diese kontinuierlich zu beheben – gestützt auf Fachwissen, klare Verantwortlichkeiten und eindeutig definierte Service-Level.

Denn die größte Herausforderung der Cybersicherheit besteht nicht darin, die Schwachstelle zu finden. Entscheidend ist, was danach geschieht.