KI-Agenten schaffen neue Wege für Cyberangriffe
Engadgets veränderte Berichterstattung zur Cybersicherheit spiegelt einen Konflikt wider, der sich 2026 immer schwerer ignorieren ließ. KI-Systeme helfen inzwischen dabei, Schwachstellen zu finden, Angriffe zusammenzustellen und Werkzeuge mit weniger menschlicher Anleitung zu bedienen.
Die unmittelbare Gefahr ist kein allwissender maschineller Hacker. Es ist ein Agent, der Software wiederholt untersuchen, mögliche Schwächen testen und seine nächste Aktion anpassen kann. Diese Kombination verdichtet Arbeit, die früher erheblich Zeit und spezialisiertes Fachwissen erforderte.
Dieser Wandel setzt beide Seiten der Cybersicherheit unter Druck. Angreifer können mehr vom Eindringungsprozess automatisieren, während Verteidiger schnellere Werkzeuge zur Prüfung von Code und zum Auffinden von Fehlern erhalten. Der Wettbewerb dreht sich nun darum, welche Seite Erkenntnisse validieren und zuerst handeln kann.
Engadget verlagert den Fokus von KI-Unterstützung zu KI-Handeln
Die entscheidende Veränderung besteht darin, dass KI von der Beratung von Sicherheitsverantwortlichen zur Ausführung zusammenhängender Teile ihrer Arbeit übergegangen ist.
Sicherheitsteams nutzen maschinelles Lernen seit Jahren. Frühere Systeme klassifizierten meist Malware, bewerteten Warnmeldungen oder erkannten ungewöhnliche Netzwerkaktivitäten. Ihre Ergebnisse durchliefen weiterhin einen von Menschen gesteuerten Workflow.
Generative KI erweiterte diese Rolle. Ein Modell konnte verdächtigen Code erklären, eine Phishing-Nachricht entwerfen oder Befehle zum Testen eines Servers vorschlagen. In der Regel musste jedoch eine Person die Ausgabe kopieren, den Befehl ausführen, das Ergebnis prüfen und den nächsten Schritt auswählen.
KI-Agenten verringern diese Unterbrechungen. Ein Agent ist ein mit Werkzeugen verbundenes Modell, das über mehrere Schritte hinweg Aktionen auswählen darf. Er kann ein Ergebnis lesen, seinen Plan aktualisieren und ein weiteres Werkzeug aufrufen, ohne auf einen neuen menschlichen Prompt zu warten.
Diese Unterscheidung verleiht der Cybersecurity-Warnung hinter der Engadget-Story ihre Dringlichkeit. Das Risiko entsteht durch wiederholtes Handeln, nicht allein durch bessere Antworten in einem Chatfenster.
Ein leistungsfähiger Agent kann ein Ziel scannen, einen Fehler interpretieren, eine Payload überarbeiten und dokumentieren, was funktioniert hat. Keine dieser Aktionen ist völlig neu. Ihre Koordination zu automatisieren, verändert jedoch Geschwindigkeit und Kosten des gesamten Prozesses.
Anthropic beschrieb diesen Übergang nach der Untersuchung einer im September 2025 entdeckten Cyber-Spionagekampagne. Nach Angaben des Unternehmens nutzte ein Bedrohungsakteur Claude Code zusammen mit externen Sicherheitswerkzeugen, um wesentliche Teile seiner Operation zu automatisieren.
Das Unternehmen bezeichnete den Vorfall als die erste gemeldete Cyber-Spionagekampagne, die weitgehend durch KI orchestriert worden sei. Diese Beschreibung bleibt eine Einschätzung des Unternehmens und keine universelle Einordnung, die von allen Sicherheitsforschern akzeptiert wird.
Anthropic räumte zudem eine wichtige Einschränkung ein. Das Modell erfand mitunter Zugangsdaten oder behauptete, Informationen gefunden zu haben, die öffentlich verfügbar waren. Menschliche Operatoren mussten Ergebnisse weiterhin überprüfen und das System neu ausrichten.
Diese Einschränkung ist wichtig, weil sie die gegenwärtige Gefahr von Spekulation trennt. Aktuelle Agenten können kostspielige Fehler machen, Kontext verlieren und Ausgaben falsch interpretieren. Dennoch kann ein unzuverlässiger Agent die Versuche eines Angreifers vervielfachen.
Dasselbe Prinzip prägt bereits legitime Sicherheitsforschung. Ein Modell braucht kein perfektes Urteilsvermögen, um nützlich zu werden. Es muss lediglich genügend repetitive Arbeit reduzieren, damit ein qualifizierter Operator mehr Ziele untersuchen kann.
Das Ergebnis ist ein anderes Arbeitstempo. Sicherheitsteams müssen davon ausgehen, dass Aufklärung, Schwachstellentests und die Anpassung von Exploits enger zusammenrücken können. Ein Offenlegungsfenster, das früher Zeit zum Durchatmen bot, kann drastisch schrumpfen.
Darin liegt die erste tatsächliche Bedeutung von Engadgets verändertem Gesprächsfokus. KI erzeugt nicht länger nur bösartige Texte. Sie beginnt, Entscheidungen, Werkzeuge und Aktionen zu einem Angriffs-Workflow zu verbinden.
Die Auswirkungen von KI auf die Cybersicherheit treffen langsame Verteidiger am härtesten
KI erhöht den Druck auf Organisationen, deren Sicherheitsprozesse sich langsamer bewegen als ihre Software und ihre Angreifer.
Am stärksten gefährdet sind nicht unbedingt Organisationen, die die fortschrittlichsten KI-Systeme betreiben. Häufig sind es Organisationen mit alten Anwendungen, unvollständigen Inventaren, verzögerten Patches oder unterbesetzten Sicherheitsteams.
Ein Angreifer brauchte schon immer nur einen funktionierenden Weg. Ein Verteidiger muss jeden relevanten Weg schließen und zugleich Geschäftssysteme verfügbar halten. Automatisierung verschärft diese Asymmetrie, indem sie Angreifern erlaubt, mehr Möglichkeiten gleichzeitig zu testen.
Forscher des Georgia Tech argumentieren, dass KI derzeit in frühen Angriffsphasen die größte Wirkung entfaltet. Dazu gehören das Auffinden von Schwächen, die Recherche zu Zielen und die Entwicklung möglicher Wege in ein System.
Diese Einschätzung stellt die dramatischste Interpretation von KI-Hacking infrage. Die kurzfristige Bedrohung ist nicht zwangsläufig eine Maschine, die eine völlig unbekannte Angriffskategorie erfindet. Sie besteht in der raschen Erkundung von Schwächen, die Verteidiger übersehen haben.
KI kann Dokumentation lesen, Softwareversionen vergleichen, Skripte erzeugen und Antworten von Scanning-Werkzeugen interpretieren. Sie kann auch Details zusammenführen, die harmlos wirken, wenn Sicherheitsteams sie getrennt betrachten.
Ein vergessenes Testsystem wird gefährlicher, wenn ein Agent es mit offengelegten Zugangsdaten verknüpft. Eine veraltete Bibliothek wird folgenreicher, wenn der Agent einen erreichbaren Dienst entdeckt, der genau diese Version nutzt.
Dadurch entsteht ein Priorisierungsproblem. Herkömmliche Schwachstellenprogramme beginnen oft mit Schweregraden, die einzelnen Softwarefehlern zugeordnet sind. Angreifer interessiert stärker, ob mehrere moderate Schwächen einen nutzbaren Weg ergeben.
Ein Agent kann kontinuierlich nach solchen Kombinationen suchen. Er wird nicht müde, wenn er Konfigurationen, Zugangsdaten, Netzwerkzugriffe und veröffentlichte Schwachstellen vergleicht. Diese Ausdauer kann Angriffspfade sichtbar machen, die gewöhnliche Ticket-Warteschlangen verbergen.
Die notwendige Reaktion ist ebenso organisatorisch wie technisch. Sicherheitsteams müssen verstehen, welche Assets wichtig sind, wer sie erreichen kann und wie getrennte Schwächen zusammenwirken. Ein weiteres Alerting-Produkt zu kaufen, behebt keine fehlende Zuständigkeit.
Der Druck erstreckt sich auch auf Software-Maintainer. KI-unterstützte Forscher können mehr Schwachstellenberichte erzeugen, als kleine Projekte validieren können. Falsche Berichte kosten weiterhin Zeit, selbst wenn das zugrunde liegende Modell in guter Absicht handelte.
Nature berichtete, dass Mozilla ein Spitzenmodell nutzte, um für ein Firefox-Release 271 Schwachstellen aufzudecken und zu patchen. Die Firefox-Sicherheitsarbeit veranschaulicht das defensive Potenzial von KI und ihre Fähigkeit, das Prüfvolumen zu erhöhen.
Ein verifizierter Fund kann Software verbessern, bevor Angreifer sie erreichen. Eine Flut unsicherer Funde kann dagegen Maintainer überfordern und die wichtigsten Korrekturen verzögern. Menschliche Validierung bleibt in beiden Fällen die knappe Ressource.
Dieser Engpass erklärt, warum Engadgets veränderte Schwerpunktsetzung über dramatische Hacking-Geschichten hinaus bedeutsam ist. KI verändert die Zahl plausibler Erkenntnisse, die Organisationen bewerten müssen, nicht nur die Raffinesse eines einzelnen Angriffs.
Unternehmen mit ausgereiften Asset-Inventaren und schnellen Patch-Prozessen gewinnen einen defensiven Vorteil. Organisationen, die Systemverantwortliche nicht identifizieren können, werden Schwierigkeiten haben, selbst wenn ihre Erkennungswerkzeuge leistungsfähige Modelle einsetzen.
Dabei handelt es sich primär um langfristigen Druck mit unmittelbaren Folgen. Die zugrunde liegenden Schwächen waren oft bereits vorhanden. KI verkürzt den Zeitraum, in dem Organisationen sie ungelöst lassen können, ohne Aufmerksamkeit auf sich zu ziehen.
Der eigentliche Konflikt lautet Automatisierung gegen Verifizierung
KI kann Angriffe und Verteidigung beschleunigen, doch erst Verifizierung macht aus erzeugter Aktivität verlässliche Sicherheitsarbeit.
Dies ist der zentrale Zielkonflikt. Agenten erzeugen Aktionen mit Maschinengeschwindigkeit, während vertrauenswürdige Sicherheitsentscheidungen weiterhin Belege erfordern. Diese Lücke prägt sowohl offensive Erfolge als auch defensive Überlastung.
Angreifer brauchen nicht jeden generierten Exploit zum Funktionieren zu bringen. Sie können fehlgeschlagene Versuche verwerfen und weiter testen. Verteidiger können nicht jede generierte Warnung als bestätigten Vorfall behandeln, ohne den normalen Betrieb zu stören.
Dieser Unterschied begünstigt offensive Experimente. Ein Krimineller kann ein Modell nach jedem Fehlschlag bitten, ein Skript umzuschreiben. Die Kosten eines weiteren Versuchs sind oft geringer als die Kosten des Verteidigers für die Untersuchung einer weiteren Warnung.
Automatisierung beseitigt jedoch nicht das Fachwissen, das für ernsthafte Eindringversuche erforderlich ist. Modelle können ein Ziel missverstehen, technische Details erfinden oder einen Zugang beschädigen, den ein erfahrener Operator erhalten würde.
Anthropics Bericht zur Spionagekampagne von 2025 zeigt beide Seiten. Seine Untersuchung der Kampagne besagt, dass der Akteur Claude als Operator für Aufklärung, Ausnutzung, Sammlung von Zugangsdaten und Datenanalyse verwendete.
Der Bericht besagt zudem, dass Menschen Ziele auswählten und an kritischen Punkten eingriffen. Anthropic kam zu dem Schluss, dass die Halluzinationen des Systems weiterhin ein Hindernis für vollständig autonome Angriffe darstellten.
Diese Einschränkungen sollten nicht zu Ausreden für Selbstzufriedenheit werden. Ein unvollkommener Agent kann dennoch Hunderte kostengünstiger Aufgaben erledigen, bevor ein Mensch die vielversprechendsten Ergebnisse prüft.
Der bessere Vergleich lautet nicht KI gegen einen Elite-Hacker. Es geht um einen Operator mit konventionellen Werkzeugen gegenüber einem Operator, der mehrere teilautonome Workflows überwacht.
Der zweite Operator kann mehr Ziele untersuchen, mehr Tests wiederholen und mehr Notizen festhalten. Der Agent kann außerdem technisches Material übersetzen oder eine bekannte Technik an eine unbekannte Softwareumgebung anpassen.
Verteidiger erhalten theoretisch entsprechende Vorteile. Sie können Agenten einsetzen, um Code zu untersuchen, gemeldete Bugs zu reproduzieren, Konfigurationen zu prüfen oder nach einem Vorfall Logs zu durchsuchen.
In der Praxis unterliegt der defensive Einsatz strengeren Beschränkungen. Ein Sicherheitsteam muss die Verfügbarkeit der Produktionsumgebung, Kundendaten und die Integrität von Beweisen schützen. Es kann nicht jeden vom Modell generierten Befehl frei gegen eine Live-Umgebung ausführen.
Dadurch wird Sandboxing unverzichtbar. Eine Sandbox ist eine isolierte Umgebung, die begrenzt, was Code oder ein Agent erreichen kann. Doch die Isolation versagt, wenn Werkzeugberechtigungen, Zugangsdaten oder Netzwerkwege zu weitreichend bleiben.
Das Sicherheitsmodell muss daher die vollständige Betriebsumgebung des Agenten abdecken. Nur das Sprachmodell zu schützen, lässt seinen Browser, seine Kommando-Shell, Konnektoren, gespeicherten Zugangsdaten und abgerufenen Dokumente ungeschützt.
NISTs Auswertung von Antworten zur Sicherheit von Agenten ergab breite Einigkeit darüber, dass etablierte Cybersicherheitsprinzipien weiterhin relevant sind. Seine Analyse der Agentensicherheit kam zudem zu dem Schluss, dass diese Prinzipien für autonome Systeme angepasst werden müssen.
Das Prinzip geringster Rechte bleibt nützlich, doch die Berechtigungen eines Agenten können sich über verbundene Werkzeuge hinweg verändern. Protokollierung bleibt nützlich, doch ein Hochgeschwindigkeitsagent kann mehr Ereignisse erzeugen, als Teams manuell prüfen können.
Menschliche Freigaben bleiben nützlich, doch bedeutungslose Bestätigungsaufforderungen werden zu einer weiteren Fehlerquelle. Wenn eine Person Dutzende undurchsichtiger Aktionen genehmigt, besteht die Kontrolle nur auf dem Papier.
Der praktische Wettbewerb lautet daher Automatisierung gegen Verifizierung. Angreifer profitieren, wenn kostengünstiges Experimentieren ein erfolgreiches Ergebnis liefert. Verteidiger profitieren, wenn automatisierte Entdeckung zu einem validierten Patch führt, bevor die Ausnutzung beginnt.
Keines der beiden Ergebnisse wird allein durch das Modell garantiert. Entscheidungen bei der Bereitstellung bestimmen, ob ein KI-Agent zu einem nützlichen Analysten, einem unzuverlässigen Rauschgenerator oder einem unkontrollierten Operator wird.
Neue KI-Angriffspfade zielen auf den Agenten selbst
KI-Agenten führen Schwachstellen ein, die herkömmliche Anwendungen nicht aufwiesen, weil Software zuvor die meisten abgerufenen Texte lediglich als Daten behandelte.
Prompt Injection ist das deutlichste Beispiel. Bei einem Prompt-Injection-Angriff werden Anweisungen in Inhalte eingebettet, die ein Modell liest, in der Hoffnung, dass das Modell diese Anweisungen als Befehle behandelt.
Ein gewöhnlicher Browser zeigt einen bösartigen Satz an. Ein KI-Agent könnte denselben Satz interpretieren, auf ein weiteres Tool zugreifen und danach handeln. Die Schwachstelle entsteht durch die Verbindung nicht vertrauenswürdiger Inhalte mit Entscheidungsbefugnissen.
Indirekte Prompt Injection versteckt diese Anweisungen in externem Material. Die Inhalte können in einer Webseite, einem Dokument, einer E-Mail, einem Support-Ticket, einem Code-Kommentar, einem Kalendereintrag oder einem Suchergebnis erscheinen.
Ein menschlicher Mitarbeiter bemerkt die versteckte Anweisung möglicherweise nie. Ein Agent, der das Material verarbeitet, kann sie in seinen Arbeitskontext übernehmen und ihr statt der Anfrage des Nutzers folgen.
Sicherheitsforscher von Google haben indirekte Prompt Injection als eines der wichtigsten Angriffsrisiken für Agenten identifiziert. Ihre Studie zu Web-Injection untersuchte öffentliche Seiten auf Muster, die KI-Leser beeinflussen sollen.
Die Gefahr steigt, wenn ein Agent Nachrichten versenden, private Dateien abrufen, Datensätze aktualisieren oder Code ausführen kann. Eine erfolgreiche Injection kann autorisierten Zugriff in eine vom Angreifer gesteuerte Aktion verwandeln.
Das ist nicht identisch mit einer klassischen Software-Injection-Schwachstelle. Eine Datenbank kann Befehle und Werte durch strikte Syntax und Parametrisierung trennen. Sprachmodelle arbeiten mit mehrdeutigen Anweisungen und Inhalten.
Filter können bekannte Formulierungen erkennen, doch Angreifer können Anweisungen umformulieren oder über mehrere Quellen verteilen. Ein System riskiert zudem, legitime Inhalte zu blockieren, wenn es ungewöhnlichen Text grundsätzlich als bösartig einstuft.
Berechtigungsgrenzen bieten einen stärkeren Schutz. Ein E-Mail-Zusammenfasser benötigt normalerweise keine Befugnis, Shell-Befehle auszuführen. Ein Coding-Assistent sollte Geheimnisse nicht automatisch hochladen, nur weil eine Repository-Datei dies verlangt.
Entwickler müssen außerdem die Herkunft der Informationen nachverfolgen, die in den Kontext eines Agenten gelangen. Inhalte aus dem öffentlichen Web sollten nicht dasselbe Vertrauen erhalten wie eine direkte Anweisung eines authentifizierten Nutzers.
Agenten können weiteren neuen Angriffswegen ausgesetzt sein. Tool-Beschreibungen können manipuliert werden, Speicher kann feindliche Anweisungen bewahren, und kompromittierte Konnektoren können irreführende Ergebnisse zurückgeben.
Ein Angreifer kann auch die Daten vergiften, die ein Agent für Entscheidungen nutzt. Das Ziel ist nicht immer die sofortige Ausführung von Code. Es kann ausreichen, einen Bericht zu verändern, eine Warnung zu unterdrücken oder einen Zahlungsablauf umzuleiten.
Die Überprüfung von OWASP aus dem Jahr 2026 beschreibt Prompt Injection und KI-Abhängigkeiten von Drittanbietern als praktische Unternehmensrisiken. Ihr Bericht zu Agent-Exploits verknüpft dokumentierte Vorfälle mit neuen Sicherheitskategorien.
Dennoch sollten Sicherheitsteams nicht jede ungewöhnliche Modellantwort als erfolgreichen Cyberangriff behandeln. Modelle können aufgrund mehrdeutiger Prompts, begrenzten Kontexts oder gewöhnlicher Softwarefehler scheitern.
Ein glaubwürdiger Vorfall erfordert Belege darüber, worauf das System zugegriffen hat, welche Aktion es versucht hat und ob ein Angreifer diese Aktion beeinflusst hat. Sensationelle Demonstrationen lassen häufig eines dieser Elemente aus.
Die nützlichste Frage lautet nicht, ob ein Modell etwas Beunruhigendes gesagt hat. Entscheidend ist, ob nicht vertrauenswürdige Eingaben eine Vertrauensgrenze überschritten und eine folgenreiche Aktion ausgelöst haben.
Dieser Test gibt Organisationen einen praktikablen Maßstab. Er zeigt auch, warum neue KI-Schwachstellen gezielte Aufmerksamkeit verdienen, ohne etablierte Grundlagen der Cybersicherheit zu ersetzen.
KI-gestützte Schwachstellensuche hilft Angreifern und Maintainers gleichermaßen
Dieselbe Fähigkeit, mit der KI vernachlässigte Schwachstellen finden kann, kann die Abwehr stärken – vorausgesetzt, Maintainers erhalten validierte Befunde und nutzbare Patches.
KI-gestützte Schwachstellensuche arbeitet in einem großen Suchraum. Ein Modell kann Quellcode untersuchen, über Programmverhalten nachdenken und Tools wie Debugger oder Fuzzer auswählen.
Ein Fuzzer speist ungewöhnliche Eingaben in Software ein, um Abstürze oder unerwartetes Verhalten auszulösen. Klassisches Fuzzing hängt häufig von von Menschen entwickelten Test-Harnesses und erheblicher Rechenzeit ab.
Ein Modell kann helfen, Abstürze zu interpretieren und zu relevantem Code zurückzuverfolgen. Es kann außerdem neue Tests auf Grundlage dessen vorschlagen, was frühere Versuche ergeben haben.
Anthropic berichtete, dass Claude Opus 4.6 während kontrollierter Forschung Schwachstellen in weit verbreiteter Open-Source-Software gefunden habe. Das Unternehmen erklärt, jeden gemeldeten Fehler validiert zu haben, um Maintainers nicht mit halluzinierten Bugs zu belasten.
Seine Zero-Day-Forschung veranschaulicht das defensive Potenzial und die Herausforderung der Offenlegung. Ein Zero-Day ist eine Schwachstelle, die dem verantwortlichen Maintainer unbekannt ist, wenn jemand sie entdeckt oder ausnutzt.
Diese Befunde sind wertvoll, wenn Forscher die Offenlegung koordinieren und Maintainers Zeit zum Patchen geben. Sie werden gefährlich, wenn Exploit-Details Angreifer erreichen, bevor Nutzer betroffene Systeme aktualisieren können.
KI verkürzt beide Zeitachsen. Sie kann einem Maintainer helfen, einen Bericht schneller zu verstehen, aber auch einem Angreifer, einen öffentlichen Patch zu analysieren und die ursprüngliche Schwachstelle zu rekonstruieren.
Dieser Prozess, oft Patch Diffing genannt, vergleicht Softwareversionen, um den korrigierten Code zu finden. Ein Agent kann anschließend testen, ob ältere, exponierte Versionen weiterhin verwundbar sind.
Organisationen müssen daher den Weg zwischen Eingang einer Schwachstellenmeldung und Behebung verkürzen. Ein Bericht, der einer Warteschlange ohne Zuweisung liegt, wird gefährlicher, wenn Angreifer die Patch-Analyse automatisieren können.
Die Antwort besteht nicht darin, jedes Sicherheitsupdate zu verbergen. Nutzer benötigen genügend Informationen, um ihre Gefährdung einzuschätzen und Korrekturen anzuwenden. Forscher brauchen außerdem Anreize und sichere Kanäle, um Probleme zu melden.
Die realistischere Verbesserung ist koordinierte Automatisierung. Agenten können Befunde in isolierten Umgebungen reproduzieren, betroffene Assets identifizieren, Patches vorschlagen und Tests vorbereiten. Menschen können Änderungen dann auf Grundlage besserer Belege freigeben.
Maintainers sollten die Annahme zurückweisen, dass jeder KI-generierte Bericht dieselbe Dringlichkeit verdient. Berichte benötigen reproduzierbare Schritte, betroffene Versionen, technische Auswirkungen und Belege dafür, dass das Verhalten eine Sicherheitsgrenze überschreitet.
Sicherheitsteams benötigen außerdem Deduplizierung. Mehrere Agenten können unabhängig dieselbe Grundursache in unterschiedlicher Sprache melden. Ohne Gruppierung kann Automatisierung dazu führen, dass eine Schwachstelle wie Dutzende getrennte Notfälle erscheint.
Diese Verifizierungsebene ist der Bereich, in dem Verteidiger wieder Handlungsspielraum gewinnen können. Angreifer tolerieren Rauschen, weil sie nach einer einzigen Öffnung suchen. Verteidiger können strukturierte Belege nutzen, um eine große Menge an Entdeckungen in priorisierte Korrekturen umzuwandeln.
Die Vorteile reichen über große Technologieunternehmen hinaus. Kleinere Teams können KI einsetzen, um unbekannten Code zu untersuchen oder Tests zu entwerfen, benötigen jedoch weiterhin sichere Konfigurationen und qualifizierte Überprüfung.
Organisationen sollten zudem institutionelles Wissen über Vorfälle und Patches bewahren. Eine durchsuchbare Engineering-Wissensdatenbank kann Teams helfen, neue Befunde mit früheren Entscheidungen und betroffenen Systemen zu verknüpfen.
Diese Verbindung ist operativ wichtig. Ein Agent kann schnell eine Korrektur vorschlagen, doch Teams müssen weiterhin wissen, warum der Code existiert, welche Kunden davon abhängen und welche früheren Änderungen Probleme verursacht haben.
KI-gestützte Schwachstellensuche begünstigt daher nicht automatisch die Offensive. Sie belohnt die Seite, die Automatisierung mit Zugriff, Validierung und schnellerer Umsetzung kombiniert.
Was die nächsten Cybersicherheitstests zeigen müssen
Die nächste Phase wird anhand verifizierter Vorfälle, fehlgeschlagener Agentenberechtigungen und der Fähigkeit der Verteidiger gemessen werden, mit vergleichbarer Geschwindigkeit zu patchen.
Das erste Signal, auf das es zu achten gilt, ist eine unabhängige Dokumentation von KI-orchestrierten Einbrüchen. Bedrohungsberichte von Unternehmen liefern wertvolle Belege, doch Anbieter haben auch Anreize, die Bedeutung ihrer Modelle hervorzuheben.
Stärkere Bestätigung würde gemeinsame Indikatoren, betroffene Branchen, Angriffschronologien und Erkenntnisse mehrerer Incident-Response-Teams umfassen. Sensible Details können geschützt bleiben, während Ermittler dennoch die Rolle der KI belegen.
Wenn unabhängige Berichte zeigen, dass Agenten längere Angriffsketten mit weniger menschlichen Korrekturen abschließen, wird das Argument für Automatisierung stärker. Wenn die Belege weiterhin konstante Eingriffe durch Operatoren zeigen, müssen Behauptungen über Autonomie zurückhaltend bleiben.
Das zweite Signal ist der Umgang mit indirekter Prompt Injection in eingesetzten Agenten. Forschungsdemonstrationen zeigen bereits einen glaubwürdigen Mechanismus. Die offene Frage ist, wie häufig er in gewöhnlichen Unternehmenssystemen folgenreiche Aktionen auslöst.
Achten Sie auf Vorfälle mit E-Mail-Agenten, Coding-Assistenten, Browser-Agenten und vernetzten Produktivitätstools. Berichte sollten die beteiligten Berechtigungen erläutern und angeben, ob das System eine definierte Vertrauensgrenze überschritten hat.
Ein Anstieg verifizierter Fälle würde zeigen, dass KI eine eigene operative Angriffsfläche geschaffen hat. Das Fehlen dokumentierter Schäden würde das Risiko nicht beseitigen, aber Behauptungen schwächen, dass bereits eine breit angelegte Ausnutzung im Gange ist.
Das dritte Signal ist die Geschwindigkeit der Behebung. KI-gestützte Entdeckung ist besonders wichtig, wenn sie das Rennen zwischen dem Finden einer Schwachstelle und dem Schutz exponierter Systeme verändert.
Nützliche Belege umfassen kürzere Validierungszeiten, schnellere Bereitstellung von Patches und weniger nicht zugewiesene Schwachstellen. Reine Zahlen von durch KI entdeckten Bugs sagen wenig aus, wenn Maintainers sie nicht verarbeiten können.
Verteidiger sollten mit der Vorbereitung beginnen, ohne auf perfekte Kennzahlen zu warten. Sie können Agentenberechtigungen inventarisieren, vertrauenswürdige Anweisungen von abgerufenen Inhalten trennen und für irreversible Aktionen eine Genehmigung verlangen.
Sie sollten Tool-Aufrufe mit genügend Details protokollieren, um Entscheidungen rekonstruieren zu können. Protokolle müssen die Eingabequelle, die angeforderte Aktion, verfügbare Berechtigungen und das tatsächliche Ergebnis erfassen.
Sicherheitstests müssen zudem feindliche Inhalte in normalen Workflows einschließen. Ein Modell nur mit direkten Jailbreak-Prompts zu bewerten, übersieht Angriffe, die in Dateien, Websites und Nachrichten versteckt sind.
Organisationen sollten Datenbewegungen begrenzen. Ein Agent, der vertrauliche Dokumente liest, sollte nicht uneingeschränkte externe Kommunikation erhalten, nur weil beide Fähigkeiten für sich genommen nützlich erscheinen.
Traditionelle Kontrollen tragen weiterhin den Großteil der Verteidigungslast. Multifaktor-Authentifizierung, schnelles Patchen, segmentierte Netzwerke, geschützte Zugangsdaten und getestete Wiederherstellungspläne bleiben unverzichtbar.
KI macht diese Praktiken nicht überflüssig. Sie bestraft Organisationen, die sie inkonsequent umgesetzt haben, weil automatisierte Angreifer die Ausnahmen schneller finden können.
Dass Engadget die Diskussion über Cybersicherheit verändert, liegt daher weniger daran, dass Maschinen Hacker ersetzen, als daran, dass Maschinen die Ökonomie des Hackens verändern. Mehr Versuche können früher stattfinden, mit weniger Pausen zwischen Entdeckung und Aktion.
Die defensive Chance folgt derselben Logik. Sicherheitsteams können Agenten nutzen, um Code zu untersuchen, Berichte zu validieren und Korrekturen vorzubereiten, bevor ein Angreifer eine Schwachstelle in einen Einbruch verwandelt.
Die entscheidende Frage ist, ob Organisationen Agenten weitreichende Befugnisse geben werden, bevor sie wirksame Verifizierung etablieren. Leser sollten fragen, worauf jeder Agent zugreifen kann, was er verändern kann und wer seine Aktionen prüft.
Diese Prüfung sollte jetzt stattfinden, nicht erst, nachdem der erste unerklärliche Tool-Aufruf in einem Incident-Report erscheint. KI beschleunigt die Cybersicherheit, doch Geschwindigkeit ohne Grenzen begünstigt die Seite, die bereit ist, das größte Risiko einzugehen.
