Anstieg der KI-Schwachstellen: Bessere Triage hilft beim Management

Der beängstigendste Teil der KI-gestützten Schwachstellenentdeckung ist nicht, dass Maschinen Fehler finden werden. Maschinen finden schon seit Ewigkeiten Fehler, meistens während Menschen auf Dashboards starren und so tun, als wären die roten Markierungen dekorativ. Das schärfere Problem ist operativ: Was passiert, wenn die Entdeckung schneller wird, aber die Menschen, Workflows und Release-Züge stur biologisch bleiben. Die Exploit-Weltuntergangs-Dioramen überlasse ich Sam, denn die nützliche Frage hier ist kleiner und besser umsetzbar: Kann bessere Triage den Anstieg handhabbar halten?

Der Engpass ist nicht mehr die Entdeckung

Das arXiv-Paper When Discovery Outpaces Remediation stellt das Problem als Warteschlangenproblem dar, was erfrischend unfilmisch und deshalb nützlich ist. Die Autorinnen und Autoren modellieren KI-Systeme für Codeanalyse, Binäranalyse, Fuzzing-Orchestrierung und Planung von Penetrationstests als Kräfte, die die Rate, mit der latente Schwachstellen entdeckt werden, deutlich erhöhen können. Ihr Unternehmensmodell umfasst einen gewichteten Abhängigkeitsgraphen, sich auffüllende Schwachstellenpools, begrenzte Behebungskapazität, nachlassende Triage-Qualität, verkürzte Exploit-Zeitfenster und dynamische Ausbreitung von Kompromittierungen. Übersetzung: Wenn dein Eingangskanal breiter wird und dein Behebungskanal gleich groß bleibt, Glückwunsch, du hast einen Sumpf erfunden.

Laut dem arXiv-Paper wachsen Rückstände schnell und das systemische Risiko steigt nichtlinear, wenn verwertbare neue Funde den Behebungsdurchsatz übersteigen. Das ist die gegensätzliche Lektion, die sich im Paniknebel versteckt: Die Krise ist nicht rohe KI-Fähigkeit, sondern ein Missverhältnis. Ein Fund zählt operativ erst, wenn er validiert, mit einem Risiko versehen, an eine verantwortliche Person oder ein Team weitergeleitet und in Produktion behoben wurde. Sonst ist er nur ein sehr teurer Haftzettel mit CVE-Hut.

Dasselbe Paper fügt eine weitere praktische Schwierigkeit hinzu: In hub-dominierten Topologien kann Segmentierung die weitergegebene Kompromittierung wirksamer reduzieren als Behebungsgeschwindigkeit allein. Das ist keine Ausrede, langsam zu patchen, bitte druckt es nicht auf einen Hoodie. Es bedeutet, dass Architektur weiterhin zählt, besonders wenn ein verwundbarer Dienst im Zentrum des Abhängigkeits-Sonnensystems sitzt wie eine winzige, unsichere Sonne.

NHIMG sagt, der echte Druck liegt im Routing

Die Analyse von NHIMG, unter Berufung auf Nucleus, sagt, dass KI-gestützte Schwachstellenforschung Entdeckung und Offenlegung von Monaten auf Tage verkürzt, während die CVE-Datenbank über 354.000 Einträge enthält. Die Analyse argumentiert, dass die eigentliche Herausforderung nicht mehr darin besteht, mehr Probleme zu finden, sondern sie schnell genug zu triagieren, zu normalisieren und weiterzuleiten, damit das Wachstum des Rückstands die Behebungskapazität nicht überholt.

Dieses Wort normalisieren leistet eine Menge Arbeit, denn Schwachstellendaten kommen an wie eine Kramschublade nach einem Erdbeben. Derselbe Bug, anderer Scanner, andere Schwere, anderer Owner, anderer Dienstag. NHIMG merkt außerdem an, dass Schwachstellenmanagement zunehmend von identitätsbewusster Verantwortlichkeit, Workflow-Automatisierung und risikobasierter Priorisierung abhängt statt nur von Schweregraden. Hier kann KI helfen, ohne ein Cape zu tragen: Funde deduplizieren, sie mit Asset-Kontext anreichern, sie verantwortlichen Teams zuordnen und erreichbares Produktionsrisiko von Scanner-Konfetti trennen. Triage nur nach Schweregrad ist wie Krankenhauspatienten alphabetisch zu sortieren. Technisch ordentlich, medizinisch absurd.

Daily.dev verweist auf Agenten, die

die langweilige Mitte erledigen Daily.dev berichtet, dass Checkmarx One ein Orchestrierungsframework hinzugefügt hat, das fünf KI-Agenten über Schwachstellenentdeckung, Triage und Behebung hinweg vom IDE bis zur Produktion steuert. Derselbe Bericht sagt, dass Checkmarx KI-Supply-Chain-Sicherheit hinzugefügt hat, um Modelle, Agenten, Datensätze, Prompts und AI-BOM-Komponenten zu verfolgen und dann Richtlinien darauf anzuwenden. Das ist weniger glamourös als ein Modell, das im Hoodie Exploit-Code schreibt, aber für die meisten Engineering-Teams relevanter.

Die langweilige Mitte ist der Ort, an dem Risiko entweder zu einem Ticket mit Owner wird oder zu jedermanns wiederkehrendem Albtraum. Wichtig ist nicht, dass das Wort Agent auftaucht, denn inzwischen hat jedes Produkt Agenten, so wie jede Müslischachtel Vitamine hat. Der nützliche Teil ist Orchestrierung über die Entwicklungspipeline hinweg. Wenn ein KI-Assistent validieren kann, ob ein Fund echt ist, eine klar abgegrenzte Behebung vorschlagen, Code-Kontext anhängen und die Verantwortlichkeit mit Produktions-Assets verknüpft halten kann, gewinnt das Sicherheitsteam Hebelwirkung statt nur ein größeres Postfach. Das ist der Unterschied zwischen Automatisierung und einem Roomba, der unter dem Sofa feststeckt.

Resilient Cyber sagt, alte Programme knarzen

Chris Hughes von Resilient Cyber schreibt, dass er 2024 Effective Vulnerability Management mitverfasst hat, weil der Ansatz der Branche nicht dazu passte, wie Software gebaut, bereitgestellt und angegriffen wurde. Er argumentiert, dass sich diese strukturellen Belastungen zwei Jahre später um eine Größenordnung verstärkt haben und neue hinzugekommen sind. Resilient Cyber verweist außerdem auf The AI Vulnerability Storm von der Cloud Security Alliance, SANS, unprompted und dem OWASP Gen AI Security Project als praxisorientierte Veröffentlichung für Sicherheitsverantwortliche, die ihre Programme neu bewerten.

Für Leserinnen und Leser, die solche Systeme aufbauen oder betreiben, lautet die Erkenntnis nicht, einen größeren Panikknopf zu kaufen. Messt Eingangsrate gegen Behebungsdurchsatz, verfolgt False Positives, verlangt Asset-Kontext, priorisiert erreichbares Geschäftsrisiko und verkürzt den Weg vom validierten Bug zum ausgelieferten Fix. Achtet auf Tools, die Code, Verantwortlichkeit, Laufzeit-Exponierung und Richtlinien verbinden, statt auf Tools, die bloß Funde in höherer Auflösung versprühen. Das Modell, das den Bug findet, ist nicht der Held; das langweilige Ticket, das geschlossen wird, ist es.