So beschleunigt KI die Schwachstellensuche

Anzeige · Partnerinhalt von F5, vermittelt durch Fink & Fuchs. Die SecurityToday-Redaktion hat den Text formal aufbereitet.

Moderne Software verändert sich immer schneller, so dass klassische Prüfprozesse mögliche neue Schwachstellen nicht mehr vollständig entdecken können. Generative KI ermöglicht die hochskalierte Echtzeit-Analyse von Quellcode, zum Teil auch Binärdateien und kompiliertem Code. Sie ersetzt jedoch weder sichere Entwicklungsprozesse noch menschliche Bewertung. So müssen Hersteller die KI-basierte Schwachstellensuche in einen Prozess aus Analyse, Priorisierung, Verifizierung, Behebung und Nachweis integrieren.

Verwandt: Schwachstellen-Triage: CVSS allein steuert falsch  ·  API-Security: der blinde Fleck hinter jeder Integration

Die europäische Cybersecurity-Agentur ENISA hat in ihrem Threat Landscape Report 2025 insgesamt 4.875 Vorfälle aus dem Zeitraum Juli 2024 bis Juni 2025 analysiert. Als wichtigen Zugangsweg für Angreifer nennt sie die Kompromittierung von Software in der digitalen Lieferkette über aufgedeckte Schwachstellen. Gleichzeitig beschreibt sie künstliche Intelligenz als Faktor, der sowohl Angriffe optimiert als auch bei Unternehmen zu neuen Angriffsflächen führt. Damit steigt der Druck auf die Softwareindustrie an zwei Stellen: Sie muss Schwachstellen früher im Entwicklungsprozess erkennen sowie bekannte Fehler nach ihrer Bewertung schneller in wirksame Maßnahmen umsetzen.

Warum Softwareprüfung heute mehr Kontext braucht

Anwendungen bestehen heute selten aus einem überschaubaren Programm. Sie verbinden unterschiedliche Programmiersprachen, Bibliotheken, Betriebssysteme, Konfigurationsdateien, APIs und Managementschnittstellen. Eine Schwachstelle befindet sich deshalb nicht immer nur in einer Codezeile, sondern auch in einer Lücke bei der Integration mehrerer Module, einer unsicheren Voreinstellung oder einer nicht ausreichend abgesicherten Lieferkette. Klassische Untersuchungen wie statische und dynamische Analysen, Fuzzing, Code Reviews, Abhängigkeitsprüfungen und reproduzierbare Tests liefern jeweils wichtige Ergebnisse. Doch ihre Grenzen liegen vor allem in der Skalierung und der Kontextverarbeitung. Bei großen Codebasen entstehen viele Befunde, die zwar technisch plausibel, im konkreten Anwendungskontext aber oft nicht ausnutzbar sind. Die eigentliche Aufgabe lautet daher nicht „mehr Lücken finden“, sondern „relevante Befunde zuverlässig belegen“.

Was leistungsfähige KI-Modelle beitragen können

Große generative KI-Modelle können Zusammenhänge über Dateien und Module hinweg erkennen, ungewöhnliche Datenflüsse markieren und aus einem Befund eine überprüfbare Hypothese formulieren. In geeigneten Testumgebungen unterstützen sie außerdem die Erstellung von Testfällen, die Ursachenanalyse und die Vorbereitung eines Patches. Das ist besonders hilfreich, wenn Sicherheitswissen, Codeverständnis und die Auswertung von Threat Intelligence zusammengeführt werden müssen.

Die Technologie hat aber systematische Grenzen. Modelle können Befunde überbewerten, Kontext falsch interpretieren oder überzeugend klingende, aber nicht reproduzierbare Erklärungen liefern. In sicherheitskritischen Bereichen kommt ein weiteres Risiko hinzu: Ein Bericht über eine bislang unbekannte Schwachstelle ist selbst schützenswert, damit er nicht in falsche Hände gerät. Strenge Zugriffsrechte, nachvollziehbare Protokollierung, isolierte Testumgebungen und klare Regeln für die Weitergabe der Ergebnisse gehören deshalb zum Prüfprozess – nicht erst zur Reaktion auf einen Vorfall.

Praxisbeispiel: F5 verknüpft KI-Analyse mit Produktsicherheit

Wie ein solcher Ansatz in der Praxis aussehen kann, zeigt F5 mit dem systematischen Einsatz leistungsfähiger KI-Modelle zur Prüfung der eigenen Software. Im Mittelpunkt steht dabei nicht ein einzelner Modelllauf, sondern eine Infrastruktur, welche die Codebasis wiederholt analysiert, Befunde strukturiert, Ergebnisse prüft und nur bestätigte Probleme in die Entwicklung weiterleitet. Der Anwendungsfall ist für die Sicherheitsbranche relevant, weil F5-Software bei über 80 Prozent der Global Fortune 500-Unternehmen häufig in besonders exponierten Teilen der IT-Architektur zum Einsatz kommt: an Übergängen zwischen Nutzern und Anwendungen, zwischen KI-Agenten und APIs sowie in Infrastrukturen, die Verfügbarkeit und Zugriff steuern.

Fehler in solchen Komponenten können eine deutlich größere Reichweite haben als ein isoliertes Problem in einer internen Anwendung. Entsprechend müssen Analyse, Testabdeckung und Auslieferung zusammen gedacht werden. Anhand der Erfahrungen bei der Entwicklung des Prüfprozesses lassen sich drei allgemeine Lehren ableiten: Erstens muss die KI mit realem Implementierungskontext arbeiten, statt nur Zusammenfassungen oder Abstraktionen zu bewerten. Zweitens braucht jeder automatisierte Befund eine Verifikation, bevor er als Handlungsgrundlage in die Entwicklung gelangt. Drittens ist die sichere Behandlung der Ergebnisse Teil der Produktsicherheit, weil ein valider Befund Informationen über einen möglichen Angriffsweg enthält.

Ein belastbarer Prüfprozess besteht aus fünf Stationen

Für Software-Hersteller lässt sich daraus ein wiederholbarer Prüfprozess ableiten. Er verbindet automatisierte Analyse mit strengen Verifizierungen und vermeidet somit, dass eine riesige Masse ungeprüfter KI-Ergebnisse in den Entwicklungsprozess gelangt.

1. Kontext herstellen. Relevante Quellcodebereiche, Abhängigkeiten, Konfigurationen, Build-Artefakte und bekannte Einsatzbedingungen werden definiert. Sensible Daten bleiben dabei in kontrollierten Umgebungen.
2. Analysieren. Eine KI-gesteuerte statische Analyse sucht nach riskanten Datenflüssen, verdächtigen Abläufen, fehlerhafter Authentifizierungslogik, unsicherer Kryptografie und Problemen mit der Speichersicherheit.
3. Priorisieren. Die Befunde werden mit technischen Kriterien wie Ausnutzbarkeit, CWE-Zuordnungen, Schweregradbewertungen sowie Datei- und Zeilenverweisen angereichert.
4. Verifizieren. Ein zweiter Prüfpfad – etwa ein anderes Modell, ein reproduzierbarer Test, Fuzzing oder eine manuelle Analyse – trennt belastbare Ergebnisse von Fehlalarmen. Ein Befund gilt erst dann als valide, wenn seine reale Auswirkung nachvollziehbar ist und wird dann zur priorisierten Behebung weitergeleitet.
5. Beheben und nachtesten. Die erstellte Korrektur wird in einer passenden Testmatrix geprüft, gegen Regressionen abgesichert und einem Release zugeordnet. Nach der Auslieferung wird zusätzlich kontrolliert, ob die Maßnahme in den tatsächlich unterstützten Konfigurationen wirksam ist.

Betreiber und Kunden müssen Update-Zyklen umstellen

Im Vergleich zu herkömmlichen Prüfmethoden decken solche leistungsfähigeren KI-gestützten Analysen mehr neue Schwachstellen auf. Gleichzeitig entstehen Sicherheitslücken im Zuge der beschleunigten Software-Entwicklung durch KI immer schneller – und werden auch in kürzeren Zeitfenstern von Angreifern ausgenutzt. Aufgrund dieser Entwicklungen müssen sich Kunden und Betreiber von Software bei ihren Update-Zyklen umstellen. Vierteljährliche Patches reichen heute nicht mehr aus. Sie sollten mindestens monatlich, bei kritischen Anwendungen sogar ad-hoc erfolgen.

Damit dies nicht zu Produktionsunterbrechungen führt, muss der Schutz mit Laufzeit-Sicherheit gewährleistet sein. Häufigere Korrekturen sind dabei kein Qualitätsmangel. Im Gegenteil: Sie belegen eine verbesserte Analysefähigkeit und eine kürzere Zeit zwischen Erkenntnis und Schutzmaßnahme. Entscheidend ist hier, dass der Hersteller die möglichen Auswirkungen eines Exploits sowie die unterstützten Versionen, Upgrade-Pfade und erforderlichen Tests transparent darstellt. Damit die Patches möglichst reibungslos in der eigenen Infrastruktur umgesetzt werden, sollten Unternehmen folgende flankierenden Maßnahmen durchführen:

• Inventar aktuell halten. Nicht mehr genutzte Anwendungen, Module, Schnittstellen und Konfigurationen entfernen sowie eingesetzte Komponenten auf regelmäßige Updates vorbereiten.
• Updatefähigkeit planen: Prozesse für Wartung, Rollback, Hochverfügbarkeit und Tests für die eigene Umgebung ebenfalls an häufige Updates anpassen.
• Telemetrie nutzen. Ständige Prüfung auf Logs und Alarme, die eine Ausnutzung oder Fehlkonfiguration erkennen lassen, bevor ein Patch verfügbar ist.
• Risiken priorisieren. Analyse, welche aufgedeckte Schwachstelle eine exponierte Komponente betrifft, bereits ausgenutzt wird oder eine weitreichende Rechteausweitung ermöglicht.
• Hinweise berücksichtigen. Informationen des Anbieters zum jeweiligen Patch prüfen, Korrekturen testen und sicherheitsrelevante Informationen schützen.

Das sind die wichtigsten Lektionen für Hersteller

Aktuelle KI-Modelle wie Claude Mythos oder GPT Cyber entwickeln sich in einer enormen Geschwindigkeit weiter. Inzwischen decken sie reale Sicherheitslücken auf, zeigen mögliche Exploits und helfen beim Erstellen von Patches. Sie können dabei kompilierten Code analysieren, komplexe Schwachstellenketten identifizieren und ausgefeilte Proof-of-Concepts erzeugen. Dies funktioniert nicht nur bei Quellcode, sondern in einigen Fällen auch bei Binärdateien und kompiliertem Code. Damit die Modelle aber auch effektiv die Software-Prüfung unterstützen, sind insbesondere folgende Punkte zu beachten:

• Zu viele Fehlalarme überlasten die Entwicklungsprozesse. KI tendiert dazu, eher mehr als weniger zu erkennen. Daher sind Investitionen in die Entwicklung von Verifizierungsprozessen, Triage-Automatisierung und Rückkopplungsschleifen erforderlich. Nur dann erhalten Entwickler echte Sicherheitsprobleme und Fehler, die sie mit hoher Priorität beheben müssen.
• KI-Modelle werden immer schneller und besser. Jede neue Modellgeneration bedeutet einen enormen Schritt zu höherer Leistungsfähigkeit. Daher müssen Unternehmen ihren Code mit den neuesten Modellen prüfen, um mit Angreifern mitzuhalten, die ebenfalls neueste Versionen nutzen.
• Die erzeugten Schwachstellenberichte sind streng zu schützen. Neue Sicherheitslücken sind für Cyberkriminelle eine Einladung für Angriffe. Daher dürfen entsprechende Berichte nur autorisiertem Personal oder KI-Modellen mit strengen Nutzungsrechten zur Verfügung gestellt werden.

Geschwindigkeit braucht Governance

Die durch KI nochmals deutlich verschärfte Bedrohungslage erfordert kontinuierliche Softwareprüfungen. KI kann ihrerseits dabei helfen, große Codebasen schneller und mit mehr Kontext zu untersuchen. Ihr Sicherheitswert entsteht aber erst durch die Einbettung in einen kontrollierten Prozess: mit klaren Zugriffsregeln, unabhängiger Verifikation, risikobasierter Priorisierung, reproduzierbaren Tests und zuverlässigen Updatewegen. Für Hersteller kritischer Software ist das zugleich eine praktische Produktfrage. Wer Analyse, Entwicklung, Release-Management und Kundenkommunikation verbindet, kann neue Erkenntnisse schneller in resilienten Schutz übersetzen. So stellt zum Beispiel F5 gerade seinen vierteljährlichen Release-Rhythmus auf häufigere Updates für die gesamte Software um. Für Kunden wiederum wird die Fähigkeit, kontinuierliche Updates schnell zu bewerten und umzusetzen, zu einem zentralen Bestandteil der eigenen Resilienz.

Fazit

KI macht Schwachstellen nicht automatisch beherrschbar. Sie beschleunigt vielmehr das Tempo, mit dem Fehler gefunden, bewertet sowie potenziell ausgenutzt oder auch behoben werden. Für Anbieter und Kunden kritischer Anwendungen wird deshalb ein kontinuierlicher, reibungsloser und nachvollziehbarer Update-Prozess immer wichtiger.

Wollen Sie mehr über F5 und wirksame Strategien gegen KI-basierte Angriffe erfahren? Dann freuen wir uns auf Ihren Besuch während der it-sa Messe in Nürnberg an unserem Stand 7A-531.

Lesetipps der Redaktion

LesetippSchwachstellen-Triage: CVSS allein steuert falschLesetippAI-first Security Review: Vibe-Coded App im PraxistestLesetippAPI-Security: der blinde Fleck hinter jeder Integration

Mehr aus dem MBF Media Netzwerk

Digital ChiefsCRA zwingt Hersteller zur Meldung binnen 24 StundenMyBusinessFutureENISA gibt die CRA-Meldung ohne CSIRT-Prüfung freicloudmagazinWenn die KI 80 Prozent des Codes schreibt, wer prüft?

Quelle Titelbild: Getty Images / 1169539468