KI-Schwachstellenentdeckungsanalyse: VulnCheck Speed Check

Der Roboter-Bugjäger tritt nicht unbedingt die Tür ein. Vielleicht klingelt er nur so lange an der Schwachstellenmanagement-Glocke, bis die Batterie leer ist. Patrick Garrity von VulnCheck berichtet von einem starken Anstieg des CVE-Offenlegungsvolumens bei großen Softwareanbietern. Das ist genau die Art Diagramm, bei der Sicherheitsteams still und leise einen zweiten Kaffee öffnen. Der interessante Teil ist, was die Daten bisher noch nicht beweisen: dass von KI entdeckte Schwachstellen schneller ausgenutzt werden als herkömmliche. Diese Unterscheidung ist wichtig, weil der KI-Sicherheitsdiskurs ungefähr so viel Feingefühl hat wie ein Laubbläser in einer Bibliothek. Entdeckungsvolumen und Ausnutzungsgeschwindigkeit hängen zusammen, aber sie sind nicht dieselbe Maschine. Das eine füllt die Warteschlange. Das andere entscheidet, ob die Warteschlange Feuer fängt.

VulnCheck: Der CVE-Feuerwehrschlauch bekam verdächtig viel Wasser

VulnCheck berichtet, dass die CVE-Offenlegungsvolumina seit Jahresbeginn bei mehreren Anbietern stark gestiegen sind, darunter Chrome mit +563,2 %, VMware mit +180,9 %, Apache mit +170,3 %, Mozilla mit +156,9 %, HPE mit +132,3 % und F5 mit +113,8 %. VulnCheck sagt außerdem, dass die CVE-Ausgaben über GitHub seit Jahresbeginn um +476,07 % gestiegen sind, wobei GitHub darauf hinweist, dass der Anstieg über viele Meldende und Projekte verteilt ist und nicht auf eine einzelne Quelle konzentriert ist. Das ist ein wichtiger Hinweis, denn das Muster sieht weniger nach einem heroischen Bug-Kobold aus und mehr nach einem breiten Tooling-Effekt.

VulnCheck ist vorsichtig bei der Frage nach Kausalität, was in einer Branche erfrischend ist, in der ein Toaster als agentisch bezeichnet werden kann, sobald er eine YAML-Datei hat. Das Unternehmen sagt, die Anstiege seien mit einer breiteren Nutzung KI-gestützter Schwachstellenerkennung vereinbar, aber das Signal entstehe noch, und nicht alle Anstiege könnten direkt KI zugeschrieben werden. Es verweist außerdem auf öffentliche Beispiele von Mozilla, Microsoft, Apache, Curl und Palo Alto, bei denen KI-Modelle genutzt werden, um Schwachstellen zu finden, zu validieren oder zu triagieren, mit je nach Projekt gemischten Ergebnissen.

Die praktische Erkenntnis ist nicht, dass die Maschine zu einem perfekten Auditor geworden ist. Sondern dass die Grenzkosten dafür sinken, Code anzustupsen, und die Zahl dieser Stupser offenbar steigt. Stell es dir vor wie Fuzzing mit einem Junior-Analysten, der nie schläft, gelegentlich halluziniert und trotzdem noch jemanden Senior braucht, der höflich fragt, ob sich der Fund reproduzieren lässt.

Cloud Security Alliance: Exploit-Automatisierung ist real, aber vermische nicht

die Eimer Die Cloud Security Alliance argumentiert in ihrem Papier der AI Safety Initiative, dass sich das breitere Exploit-Zeitfenster verkürzt. Laut CSA sank die durchschnittliche Zeit bis zur Ausnutzung einer offengelegten Schwachstelle von ungefähr 32 Tagen im Jahr 2022 auf etwa 5 Tage für Ausnutzungsaktivitäten im Jahr 2023. Daten aus 2025 zeigten zudem, dass 32,1 % der neu verfolgten Exploits am oder vor dem Datum der öffentlichen CVE-Offenlegung erschienen. CSA sagt außerdem, dass KI-Systeme funktionsfähigen Proof-of-Concept-Exploit-Code für veröffentlichte CVEs in nur 10 bis 15 Minuten und für ungefähr einen Dollar pro Versuch erzeugen können. Das sind ernsthafte Behauptungen, und Verteidiger sollten sie nicht unter Gute-Nacht-Lektüre ablegen, es sei denn, sie schlafen gern wie ein Kubernetes-Cluster während eines regionalen Ausfalls.

Aber sie beantworten eine andere Frage als VulnChecks Analyse des Offenlegungsvolumens. CSA beschreibt den breiten Weaponization-Druck rund um veröffentlichte CVEs, während VulnCheck einen Anstieg der Offenlegungsvolumina hervorhebt, der mit KI-gestützter Entdeckung vereinbar ist. Zu beweisen, dass von KI entdeckte Schwachstellen selbst schneller in die Ausnutzung übergehen, erfordert herkunftsbewusste Telemetrie, die sauber trennt, wie ein Bug gefunden wurde, von dem, wie sich Angreifer später verhalten haben.

CSAs Beispiel CVE-Genie macht den Punkt noch deutlicher. Das Papier sagt, dass das Multi-Agenten-Framework 51 % aller in den Jahren 2024 und 2025 veröffentlichten CVEs mit verifizierbaren Exploits reproduzierte, zu durchschnittlichen Kosten von 2,77 US-Dollar pro CVE. Das deutet darauf hin, dass Exploit-Validierung günstiger werden kann, bedeutet aber immer noch nicht automatisch, dass jeder von KI gefundene Bug zu einem schnelleren realen Eindringen wird. Automatisierung kann das Labor beschleunigen, ohne den Straßenplan neu zu zeichnen.

VulnCheck und CSA zeigen gemeinsam auf ein Triage-Problem

Liest man VulnCheck und CSA nebeneinander, ist die Lehre für Verteidiger fast nervig praktisch: Die erste Auswirkung von KI könnte eine aufgeblähte Backlog-Liste sein, während die Geschichte rund um Geschwindigkeit uneinheitlich und kontextabhängig bleibt. VulnCheck sagt ausdrücklich, dass weniger klar ist, ob die Anstiege des Offenlegungsvolumens anhalten werden oder ob es sich um einen vorübergehenden Schub handelt, während Frontier-KI-Modelle auf unterschiedlichen Code angewendet werden. Diese Unsicherheit ist kein Achselzucken. Sie ist ein Planungsinput.

Sicherheitsteams sollten KI-gestützte Funde wie jede andere Signalquelle mit hohem Volumen behandeln: Reproduzierbarkeit verlangen, Funde exponierten Assets zuordnen, Ausnutzbarkeit prüfen und anhand des operativen Explosionsradius priorisieren. Wenn einem Bericht ein funktionierender Repro, Klarheit über betroffene Versionen oder ein glaubwürdiger Pfad zur Auswirkung fehlt, sollte er nicht höher eingestuft werden als ein langweiliges, bekanntermaßen ausgenutztes Problem, nur weil eine KI beim Finden einen Laborkittel getragen hat. Das Modell ist ein Metalldetektor, kein Richter.

CSAs Daten zur Verkürzung sprechen weiterhin für schnellere Patch-Entscheidungsschleifen, besonders sobald eine CVE öffentlich ist und Exploit-Code günstig getestet werden kann. Aber VulnChecks Daten sprechen gegen panisches Sortieren jeder von KI berührten CVE ganz nach oben auf den Stapel. Die vernünftige Haltung ist herkunftsbewusste Triage: Erfasse, ob KI beim Finden, Validieren oder Triagieren des Bugs geholfen hat, aber triff die Patch-Entscheidung anhand von Exposition, Exploit-Nachweisen, betroffenen Assets und Vertrauen.

Worauf man als Nächstes achten sollte

Das nächste nützliche Signal wird nicht eine weitere Pressemitteilung sein, die behauptet, der Roboter habe einen Bug gefunden. Es werden Datensätze sein, die Entdeckungsherkunft, Offenlegungsqualität, Exploit-Verfügbarkeit und den Zeitpunkt realer Ausnutzung miteinander verbinden. Wenn KI-gestützte Entdeckung das CVE-Volumen weiter erhöht, ohne dass es für genau diese Schwachstellen einen passenden, messbaren Anstieg der Ausnutzungsgeschwindigkeit gibt, brauchen Verteidiger bessere Intake-Automatisierung mehr als lautere Sirenen.

Für Entwickler und Anbieter ist das eine Einladung, Schwachstellenmanagement weniger theatralisch und stärker messbar zu machen. Fügt Felder für die Entdeckungsmethode hinzu. Verfolgt False Positives. Trennt Validierung von Ausnutzbarkeit. Der Bug-Haufen wird höher, aber die Antwort ist nicht, den Haufen anzubeten. Sie besteht darin, eine bessere Schaufel zu bauen, vorzugsweise eine, die keine kritische Schweregradbewertung halluziniert, nur weil ein Funktionsname pikant aussah.