Amazon-Google-Sicherheitsoffensive trifft auf Realitätstest bei KI-Bugs

Die Sicherheitspartner von Amazon und Google haben sich einem KI-Abwehrwettlauf angeschlossen, der auf einer eindringlichen Warnung beruht – doch nur 1,3 Prozent der untersuchten Schwachstellen wurden tatsächlich in der Praxis ausgenutzt.

Diese Zahl stammt aus VulnChecks Analyse von 1.061 öffentlich zugeschriebenen KI-gestützten Entdeckungen. Die Forschenden verglichen diese Befunde mit Belegen für Angriffe außerhalb kontrollierter Umgebungen.

Das Ergebnis stellt eine zentrale Annahme hinter der Amazon-Google-Sicherheitskampagne rund um Anthropics Project Glasswing infrage. KI kann Fehler schnell aufspüren, doch ihre Entdeckung führt nicht automatisch zu einem wirksamen Angriff.

Anthropic sieht dennoch dringenden Handlungsbedarf. Das System Claude Mythos Preview identifizierte beim Scannen von Open-Source-Projekten 23.019 Kandidaten für Schwachstellen. Nach Einschätzung des Unternehmens verdienten 6.202 davon eine hohe oder kritische Schweregradbewertung.

Diese enormen Zahlen haben Prognosen über eine bevorstehende Flut KI-generierter Exploits geprägt. Die öffentliche Datenlage beschreibt derzeit jedoch einen anderen Übergang.

KI vervielfacht mögliche Sicherheitsbefunde schneller, als Menschen sie validieren, offenlegen, patchen und priorisieren können. Angreifer stehen weiterhin vor der schwierigeren Aufgabe, eine technische Schwäche in einen zuverlässigen Angriff zu verwandeln.

Diese Unterscheidung verändert, worauf Verteidiger ihren Fokus richten sollten. Das unmittelbare Problem besteht nicht einfach darin, dass KI mehr Bugs findet. Sicherheitsgruppen müssen vielmehr folgenreiche Risiken von wachsenden Mengen maschinell erzeugter Hinweise trennen.

Die Exploit-Daten verändern die Erzählung

KI-gestützte Entdeckungen haben die Zahl der Schwachstellen erhöht, nicht aber die beobachtete Ausnutzungsrate.

VulnCheck untersuchte 1.061 Schwachstellen, die Project Glasswing und der Berkeley Vulnerability Research Initiative zugeschrieben wurden. Anschließend verglich das Unternehmen sie mit seiner Datenbank bekannter ausgenutzter Schwachstellen.

Das Unternehmen fand 14 Schwachstellen mit bestätigter Ausnutzung in der Praxis. Das entspricht laut der veröffentlichten Exploitation-Analyse 1,3 Prozent der überprüften Gruppe.

VulnCheck zufolge war diese Quote nahezu identisch mit der Rate im breiteren Schwachstellendatensatz des Unternehmens. Von KI entdeckte Fehler schienen daher nicht häufiger ausgenutzt zu werden als konventionell entdeckte Schwachstellen.

Der Vergleich ist wichtig, weil die Entdeckung und Ausnutzung von Schwachstellen unterschiedliche Fähigkeiten messen. Ein Scanner erkennt Codeverhalten, das möglicherweise eine erwartete Sicherheitsgrenze verletzt.

Ein funktionierender Exploit muss dieses Verhalten unter realistischen Bedingungen auslösen. Oft muss er Schutzmaßnahmen umgehen, ein wertvolles System erreichen und über unterschiedliche Zielkonfigurationen hinweg zuverlässig funktionieren.

Echte Angreifer bewerten zudem die Wirtschaftlichkeit. Sie berücksichtigen Zugangsmöglichkeiten, Entwicklungszeit, Entdeckungsrisiko, verfügbare Ziele und den Wert der Daten oder Kontrolle, die sie erlangen könnten.

Viele Fehler bestehen diesen Test nicht. Manche erfordern lokalen Zugriff, ungewöhnliche Konfigurationen oder Berechtigungen, die ein Angreifer ohnehin bereits benötigt. Andere verursachen Abstürze, ohne nutzbare Kontrolle zu ermöglichen.

Eine Schwachstelle kann technisch gültig bleiben und dennoch wenig operativen Wert bieten. Schweregradbewertungen allein erklären nicht, ob Kriminelle in ihre Bewaffnung investieren werden.

Project Glasswing macht diese Unterscheidung besonders wichtig. Anthropic erklärte, dass Mythos Preview in mehr als 1.000 Open-Source-Projekten 23.019 Kandidaten erzeugt habe.

Nur 126 Project-Glasswing-Befunde waren in den von VulnCheck geprüften öffentlichen Daten zu veröffentlichten Common Vulnerabilities and Exposures-Einträgen geworden. Nur einer davon war nachweislich in freier Wildbahn ausgenutzt worden.

Dieser engere Vergleich beweist nicht, dass die übrigen Kandidaten harmlos sind. Koordinierte Offenlegung hält manche Details bewusst privat, bis Software-Maintainer Patches bereitstellen können.

Er zeigt jedoch, dass Kandidatenzahlen kein Ersatz für verifizierte Ergebnisse bei Schwachstellen sein können. Erst recht können sie nicht messen, wie viele Befunde zu zuverlässigen offensiven Werkzeugen geworden sind.

Der VulnCheck-Forscher Patrick Garrity beschrieb die aktuelle Wirkung als real, aber begrenzt. Er argumentierte, dass von KI entdeckte Schwachstellen nicht von Natur aus leichter auszunutzen seien als traditionell entdeckte.

Die Befunde offenbaren zudem ein wichtiges Nennerproblem. Die Kandidatenzahl von Project Glasswing umfasst neben den am höchsten bewerteten Befunden auch Probleme mittleren und niedrigen Schweregrads.

Öffentliche CVE-Zahlen bilden eine spätere Stufe ab. Diese Einträge erfordern in der Regel Validierung, Koordination und ausreichend technische Klarheit, um ein betroffenes Produkt und die Schwachstelle zu beschreiben.

Nachgewiesene Ausnutzung setzt einen noch höheren Maßstab voraus. Sie verlangt glaubwürdige Belege dafür, dass jemand die Schwachstelle tatsächlich gegen ein reales Ziel eingesetzt hat.

Der Vergleich dieser Stufen ohne Einordnung führt zu irreführenden Schlussfolgerungen. Ein großer Kandidatenpool kann neben einer sehr kleinen Zahl ausgenutzter Schwachstellen bestehen, weil jede Stufe unterschiedliche Belege filtert.

Die Quote von 1,3 Prozent ist daher ein Realitätstest, kein Entwarnungssignal. Sie zeigt, dass KI das Angebot an Befunden verändert hat, bevor sie deren durchschnittlichen operativen Wert verändert hat.

Amazon-Google-Sicherheitspartner haben weiterhin Gründe, schnell zu handeln

Die niedrige beobachtete Ausnutzungsrate beseitigt nicht die Gefahr für Sicherheitsteams von Amazon und Google sowie andere Project-Glasswing-Partner.

Anthropic führte Project Glasswing ein, um ausgewählten Verteidigern frühzeitigen Zugang zu Claude Mythos Preview zu geben. Zu den ersten Teilnehmenden gehörten Amazon Web Services, Google, Apple, Microsoft, Cisco, Nvidia und weitere Infrastrukturanbieter.

Das Projekt startete mit rund 50 Partnern. Anthropic erklärte später, den Zugang auf etwa 150 weitere Organisationen in mehr als 15 Ländern auszuweiten.

Teilnehmende nutzen Mythos Preview, um internen und Open-Source-Code zu untersuchen, bevor vergleichbare Fähigkeiten breit verfügbar werden. Anthropic bezeichnet dies als asymmetrischen Verteidigungsvorteil.

Die Sorge des Unternehmens ist einfach: KI-Systeme können weitaus mehr Codepfade untersuchen, als ein menschliches Forschungsteam manuell prüfen kann.

Ein künftiger Angreifer könnte dieselbe Skalierung nutzen, ohne Regeln der koordinierten Offenlegung zu befolgen. Er könnte die Suche zudem auf internetexponierte Software mit klaren kommerziellen Zielen konzentrieren.

Die aktuelle Ausnutzungsrate beschreibt öffentliche Belege, nicht sämtliche privaten Aktivitäten. Kriminelle Gruppen geben erfolgreiche Zero-Day-Operationen nicht zuverlässig bekannt und veröffentlichen ihre technischen Methoden nicht.

Bestätigte Ausnutzungszahlen werden daher einen Teil der Aktivitäten unterschätzen. Die Unsicherheit wird größer, wenn Befunde während der Behebung vertraulich bleiben.

Jüngste Ereignisse zeigen, dass KI-gestützte offensive Arbeit nicht mehr auf Benchmarks beschränkt ist. Google berichtete, Kriminelle gestoppt zu haben, die offenbar ein KI-Modell bei der Identifizierung einer unbekannten Softwareschwachstelle eingesetzt hatten.

Die Operation verursachte keinen gemeldeten Schaden, weil Verteidiger eingriffen. Der Fall lieferte jedoch Hinweise darauf, dass kriminelle Akteure KI in einem realen Workflow zur Schwachstellensuche erprobten.

Die Lücke zwischen Experimenten und skalierbarer Ausnutzung bleibt erheblich. Eine erkannte Operation beweist nicht, dass Angreifer den gesamten Prozess automatisieren können.

Dennoch können Verteidiger nicht warten, bis Ausnutzungsstatistiken steigen, bevor sie sich vorbereiten. Öffentliche Bestätigung erfolgt meist erst nach einem Eindringen, einer forensischen Untersuchung oder einer Herstelleroffenlegung.

Amazon verfolgt dasselbe Problem aus einer anderen operativen Perspektive. Das System RuleForge wandelt Schwachstelleninformationen und Proof-of-Concept-Code in Erkennungsregeln um.

Amazon zufolge steigerte das System die Produktivität bei der Regelerstellung um 336 Prozent. Ein separater Evaluator reduzierte False Positives um 67 Prozent, während True-Positive-Erkennungen erhalten blieben.

Diese Angaben stammen aus Amazons eigenen RuleForge-Ergebnissen, nicht aus einem unabhängigen Benchmark. Dennoch veranschaulicht die Architektur, wie Verteidiger KI über die bloße Entdeckung hinaus einsetzen können.

RuleForge teilt die Arbeit auf spezialisierte Agenten für Aufnahme, Generierung, Bewertung und Validierung auf. Menschliche Prüfer behalten die Verantwortung, Regeln vor der Bereitstellung freizugeben.

Dieser Workflow zielt auf das fehlende Bindeglied zwischen einer offengelegten Schwachstelle und einer operativen Verteidigung. Einen Bug zu finden, erzeugt nicht automatisch Telemetrie, Erkennungen, Patches oder Bereitstellungshinweise.

Google treibt mit CodeMender und Gemini 3.5 Flash Cyber eine schnellere Entdeckung und Behebung voran. Das spezialisierte Modell soll Schwachstellen in großen Codebasen finden, validieren und patchen.

Google zufolge fand das Modell in seiner V8-Evaluierung 55 einzigartige bestätigte Probleme. Mainline Gemini fand 47, während Claude Opus 4.6 unter dem berichteten Setup 36 fand.

Bei Anbieter-Benchmarks ist Vorsicht geboten, da sich Modellkonfigurationen und Sicherheitsrichtlinien unterscheiden. Google weist außerdem darauf hin, dass einige Ergebnisse von Wettbewerbern selbst gemeldet wurden.

Trotzdem ist die Richtung klar. Große Technologieunternehmen bauen Systeme, die Scannen mit Validierung und Reparatur verbinden.

Die Ausnutzungsrate von 1,3 Prozent entkräftet diese Investitionen nicht. Sie verlagert ihre Begründung vom Zählen von Bugs hin zur Verkürzung der Zeit zwischen glaubwürdigen Belegen und einer bereitgestellten Verteidigung.

Die Entdeckung ist günstig, doch die Ausnutzung bleibt eine Kette

Die zentrale Umkehrung lautet: KI hat den Engpass bei der Entdeckung geschwächt, ohne den Engpass bei der Ausnutzung zu beseitigen.

Moderne Codebasen enthalten Millionen von Zeilen, externe Abhängigkeiten, alte Schnittstellen und undokumentierte Annahmen. KI-Agenten können diesen Suchraum aufteilen und viele Hypothesen parallel testen.

Anthropic berichtete, dass unabhängige Sicherheitsfirmen 1.752 hoch- oder kritisch bewertete Kandidaten aus seinen Open-Source-Scans geprüft hätten. Davon waren 1.587 gültige True Positives.

Diese Validierungsrate von 90,6 Prozent deutet darauf hin, dass das System innerhalb der überprüften Teilmenge mehr als zufälliges Rauschen produzierte. Die Prüfer bestätigten 1.094 als hoch oder kritisch.

Diese Ergebnisse stützen Anthropics Aussagen zur Entdeckung. Sie belegen nicht, dass jeder verbleibende, ungeprüfte Kandidat eine Expertenanalyse mit derselben Quote überstehen wird.

Sie zeigen auch nicht, dass bestätigte Fehler für Angreifer gleichermaßen nützlich sind. Die Ausnutzung hängt von einer längeren und weniger vorhersehbaren Kette ab.

Zunächst muss der Angreifer die verwundbare Komponente verstehen und feststellen, ob erreichbare Ziele sie verwenden. Ein Bibliotheksfehler hat wenig Wert, wenn betroffene Codepfade deaktiviert bleiben.

Zweitens muss der Angreifer die erforderliche Eingabe kontrollieren. Einige Bugs sind über eine öffentliche Anfrage erreichbar, andere erfordern Authentifizierung oder lokale Ausführung.

Drittens muss die Ausnutzung einen wertvollen Effekt erzielen. Einen Dienst zum Absturz zu bringen, unterscheidet sich grundlegend von Codeausführung, dem Diebstahl von Zugangsdaten oder dem Überschreiten einer Vertrauensgrenze.

Viertens muss der Exploit Unterschiede zwischen Softwareversionen und Bereitstellungseinstellungen verkraften. Eine instabile Technik kann einen Angreifer enttarnen, bevor sie nützlichen Zugang verschafft.

Schließlich muss der Angreifer den Exploit in eine Operation integrieren. Dazu gehören Infrastruktur, Zielauswahl, Persistenz, Rechteausweitung und Methoden zur Beseitigung von Spuren.

KI kann bei jeder Phase helfen, doch Unterstützung ist nicht gleichbedeutend mit Autonomie. Ein Modell kann plausiblen Code erzeugen, der scheitert, wenn sich Umgebungsdetails ändern.

Modelle haben zudem Schwierigkeiten bei der Kalibrierung ihrer Sicherheit. Amazon stellte fest, dass sein Modell zur Regelerstellung nahezu jeden Kandidaten positiv bewertete, bis ein separater Prüfer die Ausgabe beurteilte.

Dieselbe Tendenz betrifft die Schwachstellenforschung. Ein Modell kann einen alarmierenden Pfad beschreiben und dabei eine Bedingung übersehen, die diesen Pfad in der Produktion unmöglich macht.

Anthropic versuchte, diese Schwäche durch unabhängige Validierung zu adressieren. Die berichtete True-Positive-Rate zeigt, dass sorgfältig entwickelte Tools und fachkundige Überprüfung erhebliches Rauschen kontrollieren können.

Diese Überprüfung schafft jedoch einen neuen Kapazitätsengpass. Jeder ernstzunehmende Fund erfordert Reproduktion, Folgenanalyse, Kommunikation mit Maintainer:innen, einen Fix und Tests vor der Bereitstellung.

Anthropic zufolge dauert es im Durchschnitt zwei Wochen, einen Mythos-Fund mit hohem oder kritischem Schweregrad zu patchen. Einige Maintainer:innen baten das Unternehmen, Offenlegungen zu verlangsamen, weil ihnen ausreichende Prüfungskapazitäten fehlten.

Hier verschiebt sich die Sicherheitslast. Maschinelle Entdeckung vergrößert die Warteschlange, doch menschliche Institutionen bestimmen weiterhin, wie schnell daraus sicherere Software wird.

Open-Source-Projekte stehen vor der stärksten Diskrepanz. Weit verbreitete Pakete hängen oft von kleinen Teams ab, die nicht Hunderte komplexer privater Meldungen verarbeiten können.

Unternehmensteams haben mehr Kontrolle über ihre eigenen Repositories. Anthropic zufolge behoben Claude Security-Nutzer:innen in den ersten drei Wochen des Produkts mehr als 2.100 Schwachstellen.

Diese Aussage legt nahe, dass Eigentümerschaft und Zugriff auf die Bereitstellung die Behebung verkürzen können. Sie zeigt nicht, wie schwerwiegend diese Funde waren oder wie viele vorgeschlagene Patches überarbeitet werden mussten.

Der Mechanismus begünstigt daher Organisationen mit ausgereiften Engineering-Prozessen. KI kann Arbeit beschleunigen, wenn Teams ihre Assets, Verantwortlichkeiten, Abhängigkeiten und Bereitstellungspfade bereits kennen.

Organisationen mit schwachen Bestandsübersichten erhalten mehr Funde, ohne zu wissen, welche Systeme wichtig sind. Das Ergebnis kann ein größerer Rückstau und langsameres Handeln gegen echte Bedrohungen sein.

Das tatsächliche Risiko ist ein Defizit bei Triage und Patching

KI-gestützte Schwachstellenentdeckung wird gefährlich, wenn das Fundvolumen schneller wächst als die Kapazität für Validierung und Behebung.

Sicherheitsprogramme verwalten bereits Tausende Scanner-Ergebnisse, Abhängigkeitswarnungen, Konfigurationshinweise und Befunde aus Penetrationstests. KI fügt eine weitere Quelle mit größerem Umfang und unsicherer Kalibrierung hinzu.

Ein Team, das jeden maschinell erzeugten Fund als dringend behandelt, wird seine Prüfer:innen überlasten. Ein Team, das KI-Ausgaben als Rauschen abtut, kann einen seltenen, folgenreichen Angriffsweg übersehen.

Dadurch entsteht ein Präzisionsproblem. Verteidiger müssen die kleine Menge an Befunden identifizieren, die technische Schwere, erreichbare Assets, Angreiferinteresse und glaubwürdige Hinweise auf Ausnutzung vereinen.

Herkömmliche Schweregradbewertungen decken nur einen Teil dieser Entscheidung ab. Ein kritischer Fehler in einem isolierten Testsystem kann weniger unmittelbare Gefahr darstellen als ein niedriger bewerteter Fehler an einem exponierten Gateway.

Threat Intelligence liefert Hinweise auf aktives Scannen, öffentlichen Exploit-Code, kriminelle Diskussionen und beobachtete Angriffe. Der Asset-Kontext zeigt, ob die verwundbare Komponente Teil eines wertvollen Dienstes ist.

Der stärkste Workflow kombiniert diese Signale. Er dedupliziert überlappende Befunde, prüft die Erreichbarkeit und weist Verantwortlichkeiten zu, bevor Arbeit an Engineering-Teams geht.

Googles risikobasiertes Schwachstellen-Blueprint empfiehlt, Schwachstellenschwere, Bedeutung des Assets und aktuelle Bedrohungshinweise zu verbinden.

Dieses Modell adressiert die zentrale Schwäche roher Fundzahlen. Es fragt, welcher Fund zuerst Maßnahmen verdient, statt Tools dafür zu belohnen, die längste Liste zu erzeugen.

Die Zahlen von VulnCheck unterstreichen diesen Ansatz. In der ersten Hälfte des Jahres 2026 identifizierte das Unternehmen 495 bekannte aktiv ausgenutzte Schwachstellen im breiteren Softwaremarkt.

Content-Management-Systeme machten rund ein Drittel dieser Fälle aus. Auch Netzwerk-Edge-Geräte blieben häufige Ziele.

Diese Produkte ziehen Angreifer an, weil sie erreichbar, weit verbreitet und für den Erstzugang wertvoll sind. Ihre Ausnutzungsökonomie übersteigt oft jene obskurer interner Komponenten.

Sicherheitsverantwortliche sollten die KI-Ergebnisse nicht als Erlaubnis verstehen, das Patchen zu verzögern. Stattdessen sollten sie drei getrennte Warteschlangen unterscheiden.

Die erste Warteschlange umfasst bestätigte aktive Ausnutzung. Diese Schwachstellen benötigen sofortige Eindämmung, Erkennung und Behebung, weil die Bedrohung bereits besteht.

Die zweite umfasst validierte, erreichbare Schwachstellen mit glaubwürdigen Ausnutzungswegen. Teams sollten diese schnell patchen, auch ohne beobachtete Angriffe.

Die dritte umfasst nicht validierte Kandidaten oder Befunde auf nicht erreichbaren Assets. Auch diese erfordern Prüfung, sollten aber evidenzgestützte Bedrohungen nicht verdrängen.

Diese Struktur verhindert, dass die Entdeckungswelle jedes Problem in einen einzigen Schweregrad-Topf wirft. Sie gibt Maintainer:innen zudem eine vertretbare Grundlage, Offenlegungsfristen zu verhandeln.

Hinter dem niedrigen Ausnutzungsanteil verbirgt sich ein weiteres Risiko. Die absolute Zahl kann deutlich steigen, selbst wenn der Prozentsatz stabil bleibt.

Wenn KI zehnmal mehr valide Schwachstellen erzeugt, führt eine konstante Ausnutzungsrate dennoch zu zehnmal mehr ausgenutzten Fällen. Prozentwerte können diesen Skaleneffekt verschleiern.

Die geprüften Daten spiegeln zudem eine frühe Phase wider. Angreifer benötigen Zeit, neue Tools zu übernehmen, zuverlässige Harnesses zu entwickeln und sie mit Aufklärungssystemen zu integrieren.

Der öffentliche Zugang zu Anthropics leistungsfähigstem Cybermodell bleibt eingeschränkt. Diese Begrenzung reduziert, was die aktuellen Ausnutzungsdaten über weitverbreiteten Missbrauch aussagen können.

Anthropic räumt ein, noch keine ausreichend starken Schutzmaßnahmen für einen allgemeinen Mythos-Zugang geschaffen zu haben. Das Unternehmen begrenzt die Verbreitung, während es kontrollierte defensive Programme ausbaut.

Dieser Ansatz verringert die unmittelbare Exposition, schafft aber eine Herausforderung für die Messung. Ein eingeschränktes Modell kann nicht zeigen, wie gewöhnliche kriminelle Gruppen mit gleichwertigen Fähigkeiten agieren würden.

Die skeptische Schlussfolgerung muss daher eng gefasst bleiben. Die aktuellen Belege zeigen nicht, dass KI-entdeckte Schwachstellen grundsätzlich häufiger ausgenutzt werden.

Sie beweisen nicht, dass künftige Systeme dasselbe Verhältnis beibehalten werden. Ebenso können sie nicht garantieren, dass jede bestehende Ausnutzung entdeckt oder öffentlich zugeschrieben wurde.

Die stärkste politische Reaktion ist weder Panik noch Selbstzufriedenheit. Sie besteht darin, Verifikations- und Patch-Systeme aufzubauen, die skalieren können, bevor der Zugang zu fortgeschrittenen Cybermodellen ausgeweitet wird.

Googles spezialisiertes Modell hebt die Fähigkeitsgrenze an

Googles jüngstes Cybermodell zeigt, warum die heute beruhigende Ausnutzungsrate keine dauerhafte Prognose sein kann.

Gemini 3.5 Flash Cyber ist ein leichtgewichtiges Modell, das für Schwachstellenentdeckung, Validierung und Patch-Generierung feinabgestimmt wurde. Google plant begrenzten Zugang über CodeMender für Regierungen und vertrauenswürdige Partner.

Das Design des Modells betont wiederholte, kostengünstigere Erkundung, statt sich auf einen einzelnen Aufruf eines größeren allgemeinen Modells zu verlassen. Mehrere Agenten untersuchen Codepfade, bevor sie ihre Befunde zusammenführen.

Google zufolge eignet sich dieser Ansatz für komplexe Repositories, in denen der Suchraum das übersteigt, was ein einzelner Analysedurchlauf abdecken kann. Er unterstützt zudem häufiges Scannen bei Commits und Releases.

Das Unternehmen berichtete von einem eindrucksvolleren internen Test. Gemini 3.5 Flash Cyber untersuchte Google-Cloud-Systeme und fand innerhalb von zwei Stunden Schwachstellen zur Remote-Code-Ausführung in öffentlichen APIs.

Google zufolge fand das Modell zudem ein Speicherbeschädigungsproblem in einem sensiblen Produktionsdienst. Anschließend erzeugte es unter den getesteten Bedingungen einen vollständig zuverlässigen Exploit.

Laut Googles Ergebnissen zum Cybermodell umging dieser Exploit die Schutzmechanismen Address Space Layout Randomization und Write XOR Execute.

Address Space Layout Randomization verändert Speicheradressen, um Angriffe zu erschweren. Write XOR Execute verhindert, dass Speicher gleichzeitig beschreibbar und ausführbar ist.

Das Umgehen beider Kontrollen erfordert mehr als das Erkennen verdächtigen Quellcodes. Es bringt das System näher an die schwierigen Phasen der Validierung und Exploit-Entwicklung.

Das Ergebnis bleibt eine vom Unternehmen berichtete Demonstration innerhalb eines kontrollierten defensiven Programms. Google hat die betroffenen Systeme oder genügend Details für eine externe Reproduktion nicht offengelegt.

Dennoch schwächt es jede beruhigende Behauptung, dass Ausnutzung jenseits der Fähigkeiten heutiger Modelle bleibe. Die bessere Schlussfolgerung lautet, dass Ausnutzungsfähigkeit ungleich verteilt und unter eingeschränkten Bedingungen vorhanden ist.

Google verfügt zudem über ungewöhnliche Vorteile. Seine Sicherheitsteams können auf internen Code, Produktionskontext, historische Fuzzing-Ergebnisse und detaillierte Schwachstellendatenbanken zugreifen.

Diese Informationen geben Agenten eine bessere Grundlage, als sie ein externer Angreifer hätte. Sie helfen dem Unternehmen außerdem, Modellausgaben gegen reale Systeme zu überprüfen.

Angreifer haben andere Vorteile. Sie können sich auf exponierte Produkte konzentrieren, geleakten Quellcode wiederverwenden, Patches untersuchen und höhere Fehlerraten akzeptieren.

Eine offensive Kampagne muss nicht jeden Fund verstehen. Sie benötigt einen zuverlässigen Weg gegen ausreichend viele wertvolle Ziele.

Diese Asymmetrie erklärt, warum die Amazon-Google-Sicherheitsinitiative trotz der Ergebnisse von VulnCheck relevant bleibt. Die Branche bereitet sich auf die Verbreitung von Fähigkeiten vor, nicht nur auf die Messung aktueller Angriffe.

Project Glasswing verschafft ausgewählten Organisationen Zeit, kritische Software abzusichern, bevor Systeme auf Mythos-Niveau allgemein zugänglich werden. Google verfolgt einen ähnlichen Ansatz mit begrenzter Veröffentlichung.

Kontrollierter Zugang kann jedoch nicht die gesamte Strategie sein. Offene Modelle, spezialisierte Tools und verbesserte Agent-Frameworks werden die Fähigkeitslücke weiter verkleinern.

Verteidiger benötigen daher Systeme, die die Exposition kontinuierlich reduzieren. Scans vor einem Release bieten mehr Nutzen, als nach Erreichen der Produktion durch verwundbaren Code einen weiteren Alarm hinzuzufügen.

Automatische Patch-Vorschläge können die Behebung verkürzen, doch Menschen müssen Änderungen prüfen, die Authentifizierung, Speicherverwaltung, Kryptografie und Vertrauensgrenzen betreffen.

Die erfolgreiche defensive Architektur verbindet Modellentdeckung mit reproduzierbaren Belegen. Anschließend verbindet sie die Belege mit getesteten Patches, Verantwortlichkeit für die Bereitstellung und Angriffstelemetrie.

Das ist ein anspruchsvollerer Maßstab als das Zählen von Schwachstellen. Er ist zugleich der Maßstab, der am engsten mit messbaren Sicherheitsergebnissen verbunden ist.

Drei Signale werden zeigen, ob sich das Gleichgewicht verschiebt

Die nächste Phase wird anhand von Ausnutzungshinweisen, Behebungsdurchsatz und Zugang zu spezialisierten Cybermodellen gemessen werden.

Das erste Signal ist der Anteil KI-zugeschriebener Schwachstellen, die in Kataloge bekannter Ausnutzung aufgenommen werden. Das aktuelle Ergebnis von VulnCheck von 1,3 Prozent bildet eine nützliche frühe Referenz.

Ein anhaltender Anstieg über die breitere Schwachstellenrate würde Behauptungen stärken, dass KI ungewöhnlich attraktive Ziele erzeugt. Eine stabile Rate würde die Interpretation des reinen Entdeckungsvolumens stützen.

Die Qualität der Zuschreibung ist dabei entscheidend. Forschende müssen Schwachstellen, die von KI gefunden wurden, von Exploits unterscheiden, die mit KI entwickelt wurden, nachdem ein Mensch oder ein herkömmlicher Scanner die Schwäche entdeckt hatte.

Das sind unterschiedliche Fähigkeiten mit unterschiedlichen politischen Implikationen. Schlechte Kennzeichnung kann beide Seiten der Debatte stärker erscheinen lassen, als die Belege erlauben.

Das zweite Signal ist das öffentliche Behebungsregister von Project Glasswing. Leser:innen sollten beobachten, wie viele Kandidaten zu validierten Advisories, Patches, CVEs oder als falsch positive abgeschlossenen Fällen werden.

Anthropics Glasswing-Update berichtete über starke Validierungsergebnisse für eine geprüfte Teilmenge. Der breitere Rückstau an Kandidaten blieb jedoch deutlich größer als die öffentliche CVE-Zahl.

Eine schnellere Patch-Rate würde zeigen, dass Offenlegungs- und Behebungssysteme mit der Entdeckung Schritt halten. Ein wachsender Rückstau würde bestätigen, dass menschliche Kapazität zur primären Sicherheitsbeschränkung geworden ist.

Patch-Qualität ist genauso wichtig wie Quantität. Überhastete Fixes können Regressionen einführen, alternative Angriffswege offenlassen oder genügend Informationen preisgeben, damit Angreifer einen Exploit rekonstruieren können.

Forschende sollten daher Bereitstellung und Verifizierung verfolgen, nicht nur die Veröffentlichung von Patches. Ein Fix schützt Nutzer:innen erst, nachdem Maintainer:innen ihn veröffentlicht und Betreiber ihn installiert haben.

Das dritte Signal ist ein breiterer Zugang zu Mythos, Gemini Flash Cyber oder vergleichbaren spezialisierten Modellen. Anthropic und Google beschränken derzeit ihre sensibelsten Fähigkeiten.

Eine breitere Verfügbarkeit würde den ersten aussagekräftigen Test ermöglichen, wie sich fortgeschrittene Cyber-Agenten in einer größeren Nutzergruppe verhalten. Sie würde zudem den Druck auf Schutzmechanismen und die Identitätsprüfung erhöhen.

Wenn der Zugang ausgeweitet wird, ohne dass bestätigte Ausnutzung zunimmt, wird der aktuelle Realitätscheck überzeugender. Steigt die Ausnutzung hingegen rasch, wird die heutige niedrige Rate wie ein verzögerter Adoptionseffekt wirken.

Amazon, Google und ihre Partner sollten außerdem mehr ergebnisbasierte Kennzahlen veröffentlichen. Dazu gehören verifizierte Funde, Zeit bis zum Patch, ausgerollte Behebungen und verhinderte Angriffe.

Kandidatenzahlen bleiben wertvoll, um die Abdeckung der Suche zu bewerten. Sie reichen jedoch nicht aus, um zu messen, ob ein Sicherheitsprogramm das praktische Risiko reduziert hat.

Für Entwickler lautet die Lehre, von KI-Sicherheitstools reproduzierbare Belege zu verlangen. Ein Fund sollte den betroffenen Code, erreichbare Bedingungen, Auswirkungen und eine testbare Behebung enthalten.

Für Unternehmenskäufer hat die Integration in bestehende Assets und Workflows Priorität. Ein Tool, das ohne klare Zuständigkeit oder Kontext mehr Warnmeldungen erzeugt, kann das operative Risiko erhöhen.

Für Open-Source-Maintainer verdienen das Tempo von Offenlegungen und finanzierte Review-Kapazitäten größere Aufmerksamkeit. KI-Systeme können inzwischen Arbeit deutlich schneller erzeugen, als ehrenamtliche Communities sie bewältigen können.

Die Sicherheitskoalition von Amazon und Google reagiert auf eine glaubwürdige künftige Bedrohung. Die aktuellen Belege zeigen jedoch, dass die unmittelbare Krise in einer überlasteten defensiven Pipeline liegt, nicht in automatisierter massenhafter Ausnutzung.

Diese Unterscheidung sollte Ausgaben, Produktdesign und Politik prägen. Teams brauchen weniger unpriorisierte Warnmeldungen und mehr verifizierte Wege von der Entdeckung bis zur Behebung.

Beobachten Sie in den kommenden Monaten das Ausnutzungsverhältnis, den Patch-Rückstau und den Zugang zu spezialisierten Modellen. Zusammen werden diese Signale zeigen, ob KI die Ökonomie von Angriffen verändert oder vor allem das Volumen der Entdeckungen erhöht.

Die praktische Frage für jedes Sicherheitsteam ist einfach: Kann Ihre Organisation die folgenreichsten Funde validieren und beheben, bevor eine größere Warteschlange sie verdeckt?