KI-Sicherheit ohne Kontrollverlust: Deterministische Tests in KI-Geschwindigkeit

Auf der it-sa 2026 in Nürnberg war KI-Sicherheit in vielen Gesprächen an unserem Stand ein Thema. Die Besuchenden wollten nicht noch einen Chatbot, der ihre Fragen beantwortet. Sie wollten wissen, was KI ganz praktisch für sie leisten kann: was sie dafür tun müssten, wie, und wie viel Aufwand es bedeutet, wie KI helfen kann, ihre Tools zu steuern und zu beheben, was der Scan findet, und ob sich das alles On-Premises betreiben lässt.

Viele Angriffe beginnen inzwischen, bevor es überhaupt einen Patch gibt. Mandiant von Google beziffert die mittlere Zeit bis zur Ausnutzung für 2025 auf geschätzte minus sieben Tage: „Die Ausnutzung findet routinemäßig statt, noch bevor überhaupt ein Patch veröffentlicht wird“ (M-Trends 2026, eigene Übersetzung). Zum sechsten Mal in Folge waren Exploits der häufigste Einstiegsweg. Im Juni warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI): „KI senkt Aufwand, Zeitbedarf und Einstiegshürden für offensive Cyberfähigkeiten maßgeblich.“ (BSI)

Unsere Antwort ist eine bestimmte Art von KI-Sicherheit. Wir setzen KI einmal ein, an der Quelle, um deterministische Schwachstellentests zu entwickeln. Diese Tests laufen in Ihrem Netzwerk und liefern jedes Mal dieselbe Antwort, und Ihre Schwachstellendaten müssen Ihre Infrastruktur nicht verlassen.

PHP2Shell: Angreifer haben nicht gewartet, und wir auch nicht

Am 17. Oktober protokollierten die Honeypots von Amazon einen Ausnutzungsversuch gegen zwei kritische Schwachstellen in PHP (AWS). Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 haben beide einen CVSS-4.0-Wert von 9,2 und können Remote Code Execution (RCE) über HTTP ohne Anmeldung ermöglichen (unser PHP2Shell-Beitrag). PHP veröffentlichte die Patches vier Tage später, am 21. Oktober um 14:00 UTC.

Bereits am Morgen des 21. Oktober, Stunden vor dem Patch, enthielt der OPENVAS ENTERPRISE FEED Versionsprüfungen für beide Schwachstellen.

Einen Tag später hatte der Feed Prüfungen auf Paketebene für zehn Linux-Distributionen, und bis zum 26. Oktober für dreizehn (unser PHP2Shell-Beitrag).

Angriffesketten werden billiger

Tempo ist nur die halbe Geschichte. Im November 2025 beschrieb Anthropic eine Cyberspionage-Kampagne, bei der die Angreifenden KI einsetzten, „um 80 bis 90 % der taktischen Operationen eigenständig auszuführen“ (Anthropic, eigene Übersetzung). Menschen griffen an einigen Stellen ein, etwa um den Übergang von der Aufklärung zur aktiven Ausnutzung freizugeben. Viele kleine Schritte zu verketten war früher der teure Teil eines Angriffs. Soweit wir das heute beurteilen können, ist das nicht mehr so.

Derselbe Bericht enthält ein Detail, das für Sicherheitsverantwortliche wichtig ist: Die KI hat „Ergebnisse häufig übertrieben dargestellt und gelegentlich Daten erfunden“ (eigene Übersetzung), darunter Zugangsdaten, die sich als nicht funktionsfähig herausstellten. Behalten Sie das für später im Hinterkopf.

Zwei Ansätze für KI-Sicherheit

Die meiste KI für Cybersicherheit am Markt antwortet mit mehr KI auf Seiten der Verteidigung. Das ist zwar technisch beeindruckend, ermöglicht Bedrohungserkennung in Echtzeit und automatisierte Reaktionen und verringert dabei menschliche Fehler, wird in der Regel aber mit Modellen erreicht, die in großen US-Clouds laufen.

Bevor Sie sich darauf einlassen, stellen Sie drei Fragen:

1. Wohin gehen meine Schwachstellendaten? Sie sind eine Karte aller Schwachpunkte in Ihrem Netzwerk.
2. Wer kontrolliert das Modell, und was ändert sich mit der nächsten Version?
3. Wer entscheidet, wann ein Produktivsystem verändert wird?

Der andere Ansatz erledigt eine Aufgabe sehr gut und überlässt den Rest Ihnen. Diesen Weg gehen wir.

Wo KI im Schwachstellenmanagement hingehört: an der Quelle

Nach heutigem Kenntnisstand skaliert KI an genau einer Stelle am besten: bei der Entwicklung unserer Tests, einmal pro Schwachstelle. Unsere Sicherheitsforschenden nutzen eine Kombination aus von Fachleuten gesteuerter KI, Laboranalyse und statischer Automatisierung, um hohe Qualität und schnelle Lieferung sicherzustellen. Der fertige Test läuft dann auf jedem System ohne zusätzliche KI-Kosten.

Warum also nicht KI Ihre Systeme direkt beurteilen lassen? Zum einen schwanken die Ergebnisse. Thinking Machines Lab schickte denselben Prompt 1.000 Mal mit Temperatur 0 an ein Sprachmodell, also mit der Einstellung, die jedes Mal dieselbe Antwort liefern soll, und erhielt 80 verschiedene Completions (Thinking Machines Lab). Außerdem müssen KI-Ergebnisse überprüft werden. Der Anbieter von Schwachstellen-Intelligence VulnCheck verglich die Schweregradbewertungen für Funde aus Anthropics Projekt Glasswing, die sowohl eine KI- als auch eine Maintainer-Bewertung haben: Die KI stufte 91,5 % davon als kritisch oder hoch ein, die Maintainer nur 51,3 % (VulnCheck). Denken Sie an die Zugangsdaten zurück, die nicht funktionierten.

Wo deterministische Tests KI schlagen

Ein deterministischer Test liefert auf demselben System dasselbe Ergebnis, und das macht ihn zum Nachweis. Die Durchführungsverordnung zu NIS2 verlangt zum Beispiel von bestimmten Anbietern digitaler Infrastruktur und IKT-Diensten, „gegebenenfalls Schwachstellenscans durchzuführen und Nachweise über die Ergebnisse der Scans in planmäßigen Abständen festzuhalten“ (Durchführungsverordnung (EU) 2024/2690, Anhang 6.10.2(b), eigene Übersetzung). Eine Antwort, die sich von Lauf zu Lauf ändert, lässt sich schwer als Nachweis ablegen.

Unsere Tests laufen authentifiziert auf dem Host, wo sie installierte Versionen und Konfiguration sehen, und über das Netzwerk, wo die Erreichbarkeit zwischen Systemen mögliche Angriffspfade zeigt. Sie können auch hineinschauen. Der OPENVAS Scanner steht unter der GPL (GitHub) und der Management-Daemon unter der AGPL (GitHub). Auch die Schwachstellentests in unserem Community Feed sind Open Source. So ist Souveränität nichts, was Sie auf Treu und Glauben hinnehmen müssen.

KI-Sicherheit heißt auch: die eigene KI absichern

KI-Sicherheit wirkt in beide Richtungen. Fachabteilungen bringen KI-Agenten und MCP-Server in Produktion, oft schneller, als ein zentrales Inventar mithalten kann. Viele davon sind Eigenentwicklungen, was es jedem Scanner schwer macht, sie zuverlässig zu identifizieren. Wo KI-Tools als etablierte Produkte ausgeliefert werden, bekommen sie Schwachstellentests wie jede andere Software.

Ihr Stack, Ihre Wahl

Greenbone konzentriert sich auf das, was wir am besten können: Schwachstellen finden und Ihnen sagen, was Sie dagegen tun sollten. Sie zu beheben ist eine andere Aufgabe, und sie zu automatisieren birgt eigene Risiken. Als AWS den Ausnutzungsversuch protokollierte, gab es noch keinen Patch. In einer solchen Lage bleiben einem Tool zur automatischen Behebung nur wenige Optionen, und eine davon ist, Dienste abzuschalten, von denen Ihr Geschäft abhängt. Gute Priorisierung braucht außerdem etwas, das kein Scanner von sich aus weiß: welche Ihrer Systeme am wichtigsten sind.

Die Entscheidung bleibt also bei Ihnen. Sie können die Behebung vollständig manuell durchführen oder die Tools anbinden, denen Sie bereits vertrauen. Wir legen Sie nicht auf eines fest.

Eine MCP-Integration steht auf unserer Roadmap. Damit werden Sie die Patch-Management- und KI-Tools Ihrer Wahl anbinden und entscheiden können, welches Modell Ihre Daten sehen darf.

Open Source hat schon immer so funktioniert: Ein Tool erledigt eine Aufgabe, und Sie kombinieren die Tools, denen Sie vertrauen. Wir sehen keinen Grund, warum KI-Sicherheit anders funktionieren sollte.

Gleiches Tempo. Ihre Kontrolle.

KI macht Angriffe billig und verkettet sie. Die Verteidigung braucht KI im gleichen Tempo, in Ihrer eigenen Infrastruktur und unter Ihrer eigenen Kontrolle. Das ist die KI-Sicherheit, die wir entwickeln.

Möchten Sie besprechen, wie KI-Sicherheit in Ihrer eigenen Infrastruktur aussieht? Sprechen Sie uns an.