Die zunehmende Entdeckung bisher unbekannter Software-Sicherheitslücken sorgt seit Monaten für Schlagzeilen. Dieses Problem hat sogar die US-Regierung dazu veranlasst, eine zentrale Stelle namens „Gold Eagle“ einzurichten. Diese soll die Forschungsbemühungen bei der Aufdeckung, Eindämmung und Behebung von Sicherheitslücken zu koordinieren.
Ein Hinweis auf den zunehmenden Druck, dem Cyber-Verteidiger ausgesetzt sind, lässt sich aus der schieren Anzahl der Patches ableiten, die im Rahmen des „Patch Tuesday“ von Microsoft in den letzten vier Monaten bereitgestellt wurden: 169 CVEs im April, 118 CVEs im Mai, insgesamt 571 CVEs im Juni (darunter 208 direkte Microsoft-CVEs) und weitere 622 Schwachstellen im Juli, darunter Zero-Day-Schwachstellen, die aktiv ausgenutzt wurden.
In einer Keynote auf der Black Hat USA 2026 wurden die Forschungsergebnisse von Associate Professor Yan Shoshitaishvili und seinen Bachelor-Studierenden an der Arizona State University zum zunehmenden Einsatz von KI-Modellen zur Erkennung von Sicherheitslücken detailliert vorgestellt. Herr Shoshitaishvili verwies auf einen Artikel der „Washington Post“ vom Juni, in dem berichtet wurde, dass das Modell der nächsten Generation von Anthropic, „Claude Mythos“, 479 Schwachstellen im Linux-Kernel entdeckt hatte, was das Team der Universität als Maßstab heranzog. Mit früheren Generationen von GPT-Modellen hatte das Team hingegen „nur“ rund 300 Schwachstellen entdeckt.
Der Unterschied wurde auf den Einsatz von Workflows in Mythos zurückgeführt. Deshalb ging das Team daran, ähnliche Workflows in drei GPTs zu integrieren, was zur Entdeckung von rund 600 Sicherheitslücken führte. Anschließend trainierte das Team die GPTs anhand der Eigenschaften bereits bekannter Sicherheitslücken und entdeckte etwa 1.000 Sicherheitslücken. Sie stießen an die Grenze, Schwachstellen so schnell zu entdecken, dass sie mit der Meldung nicht mehr Schritt halten konnten. Zur Klarstellung: Unter „Meldung“ versteht man detaillierte Untersuchungen und vorgeschlagene Behebungsmaßnahmen, nicht nur die Meldung des Problems an sich. Das Ausmaß stellt den gesamten Prozess der verantwortungsvollen Offenlegung in Frage. Der war nach Ansicht des Teams ohnehin bereits gescheitert, da eine Offenlegung oft ein erhöhtes Risiko mit sich bringt.
Das zeitnahe Patchen von Software in Produktionsumgebungen war für viele Cybersicherheitsteams bereits ein Stressfaktor. Ein solches exponentielles Wachstum könnte der Bruchpunkt sein, der entweder zu mehr ungepatchter Software und größeren Chancen für Cyberkriminelle führt oder dazu, dass Patches ohne Tests installiert werden, was wiederum Kompatibilitätsprobleme in vielen Umgebungen verursachen könnte.
Wenn ich dieses Thema logisch betrachte und eine optimistische Sichtweise einnehme, könnte es sein, dass wir auf einen Höhepunkt bei der Entdeckung von Schwachstellen zusteuern. Vielleicht wartet jenseits dieses Höhepunkts eine Wiese des Friedens und der Ruhe mit einer verbesserten Normalität auf uns. Die Erforschung von Schwachstellen durch Menschen war traditionell ein ressourcenintensiver Prozess, der einen stetigen, jährlich zunehmenden Strom von Entdeckungen hervorbrachte. Dies ist möglicherweise darauf zurückzuführen, dass es mehr Forscher, mehr Software und mehr Motivation gibt, Schwachstellen aufzudecken. Denn mit Bug-Bounty-Programmen und Ähnlichem lassen sich finanzielle Gewinne erzielen. Wechselt man von Menschen zu KI, gleicht dies einem Quantensprung bei der Entdeckung. Und dabei befindet sich die KI noch in einer Lernphase: Wie das Team aus Arizona ausführlich darlegt, können durch die Feinabstimmung des Modells und seines Arbeitsablaufs potenziell weitere Schwachstellen aufgedeckt werden.
Dann gibt es noch die Legacy-Software. Man bedenke die enorme Menge an Software, die in den letzten 30 Jahren geschrieben wurde. Kein noch so großer menschlicher Aufwand könnte jemals alle Schwachstellen im aktuellen und im älteren Software-Katalog aufdecken. Das Ausmaß der KI-gestützten Schwachstellensuche könnte jedoch potenziell irgendwann das Ende des Bestands erreichen. Dann würden neue Entdeckungen nur noch durch Verbesserungen des Modells erfolgen, das zur Aufdeckung der Schwachstellen verwendet wird.
Wir dürfen natürlich nicht vergessen, dass ständig neue Software programmiert wird. Auch hier sollte die Logik natürlich nahelegen, dass jedes Entwicklungsteam heute dieselben verfügbaren KI-Fähigkeiten nutzen würde, um potenzielle Schwachstellen vor der Veröffentlichung seiner Software zu beseitigen. Und mit der Verbesserung der Modelle könnte die Aussicht auf praktisch fehlerfreie Software Realität werden.
Wenn sich diese Logik durchsetzt, könnten wir die ruhige und friedliche Wiese erreichen, auf der nur noch sehr wenige neue Schwachstellen entdeckt werden. Diese Sichtweise könnte natürlich nur ein Traum sein – oder mein fehlgeleiteter Optimismus.
