KI-Agenten gegen Zero-Days: Wie sich die Verteidigung beschleunigen soll

Was Mandiant mit AVDH gefunden haben will

Google zufolge wurde AVDH rund zehn Monate intern eingesetzt. Dabei habe das System Dutzende zuweisbare Schwachstellen in verbreiteten Web-Erweiterungen und Open-Source-Projekten aufgedeckt. Daraus seien zwölf vergebene CVEs hervorgegangen; ungefähr ein weiteres Dutzend Schwachstellen befinde sich in aktiver Offenlegung.

Bei einer Incident-Response-Untersuchung zu gestohlenen Unternehmens-Repositories soll das System laut externer Berichterstattung innerhalb von zwei Tagen mehr als 100 verifizierte Schwachstellen mit hoher Kritikalität identifiziert haben.

Diese Zahlen verdeutlichen das mögliche Ausmaß KI-gestützter Code-Analysen, sollten aber vorsichtig eingeordnet werden. Es handelt sich um von Mandiant gemeldete operative Ergebnisse und die dazugehörige Berichterstattung – nicht um einen unabhängig geprüften Vergleich mit herkömmlichen Sicherheitsverfahren. Außerdem sind neu entdeckte oder zuvor nicht gemeldete Schwachstellen nicht automatisch aktive Zero-Day-Exploits. Eine Lücke kann unbekannt sein, ohne bereits in freier Wildbahn ausgenutzt zu werden.

NOVA kombiniert mehrere Modelle zur Schwachstellensuche

Palo Altos Unit 42 bezeichnet NOVA – den Network and Open-Source Vulnerability Analyzer – als autonomes System zur Entdeckung, Validierung und Berichterstattung von Schwachstellen. Es basiert auf proprietären agentischen Harnesses und mehreren modernen Frontier-KI-Modellen.

In dem von Palo Alto berichteten Test analysierte NOVA innerhalb von zwei Monaten 3.915 Open-Source-Projekte und identifizierte 14.090 zuvor unbekannte Schwachstellen. Unit 42 zufolge waren 99,4 Prozent davon zuvor nicht gemeldet worden; rund 40 Prozent wurden als hoch oder kritisch eingestuft.

Die Bedeutung liegt nicht nur in der Menge. Laut der Berichterstattung handelte es sich bei vielen Ergebnissen um semantische oder logische Fehler – nicht um die klassischen Speicherfehler, auf die sich automatisierte Analysen traditionell konzentrieren. Dazu können Fehler bei Zugriffskontrollen, der Verarbeitung von Pfaden, serverseitigen Anfragen oder beim Schutz vor Code-Injection gehören. Um solche Probleme zu erkennen, muss ein System verstehen, wie eine Anwendung eigentlich gedacht ist.

Auch bei NOVA stammen die zentralen Kennzahlen vom Anbieter. Die Bezeichnung „zuvor unbekannt“ beweist nicht, dass jedes Ergebnis ein praktisch ausnutzbarer Zero-Day ist. Ebenso können Schweregrade von der verwendeten Bewertungsmethode abhängen. Die belastbarere Schlussfolgerung lautet: Multi-Agenten-Systeme mit mehreren Modellen können inzwischen sehr viele Sicherheitskandidaten aufspüren, die in herkömmlichen Prüfprozessen möglicherweise deutlich langsamer untersucht würden.

Warum schnelleres Finden allein nicht reicht

Schwachstellen schneller zu entdecken, kann die Verteidigungsfähigkeit erhöhen. Es kann die Lage aber auch verschärfen, wenn Unternehmen weiterhin auf langsame Behebungszyklen angewiesen sind. CERT-EU nennt eine geschätzte durchschnittliche Zeit bis zur Ausnutzung von minus sieben Tagen. Das bedeutet: Angriffe können im Mittel beginnen, bevor ein Patch breit verfügbar ist.

Damit verändert sich die Rolle des Patchings. Eine dauerhafte Korrektur im Code bleibt unverzichtbar, ist aber möglicherweise nicht mehr die erste oder einzige sinnvolle Schutzmaßnahme. Sicherheitsteams müssen die Angriffsfläche schon während der Untersuchung reduzieren – also während Entwickler den Fehler analysieren, einen Fix testen, die Offenlegung koordinieren und den Rollout schrittweise durchführen.

Palo Alto setzt auf Eindämmung im Netzwerk

Das Frontier AI Critical Defense Program von Palo Alto Networks soll KI-Labore, Software- und Open-Source-Organisationen sowie Bereiche wie Betriebstechnologie und Gesundheitswesen zusammenbringen. Ein vorgeschlagener Ansatz sind netzwerkbasierte „virtuelle Patches“. Sie sollen Exploit-Traffic oder missbräuchliches Protokollverhalten blockieren, bevor ein dauerhafter Software-Fix bereitsteht.

Palo Alto zufolge kann die Funktion Advanced Virtual Patching Schutzmaßnahmen innerhalb von Stunden ausrollen. Zum Vergleich nennt das Unternehmen einen behaupteten Branchendurchschnitt von 55 Tagen für die Bereitstellung eines herkömmlichen Patches.

Ein virtueller Patch ist am besten als kompensierende Sicherheitsmaßnahme zu verstehen – nicht als Ersatz für die Reparatur des anfälligen Codes. Seine Wirksamkeit hängt davon ab, ob der Exploit-Pfad korrekt erkannt wird und die Netzwerkregel diesen Pfad blockieren kann, ohne legitime Aktivitäten zu stören. Grenzen gibt es unter anderem bei Angriffen über vertrauenswürdige Kanäle, verschlüsselten Datenverkehr, lokaler Rechteausweitung oder Verhaltensmustern, die sich nur schwer von normaler Nutzung unterscheiden lassen.

Können Verteidiger den Vorsprung zurückgewinnen?

Möglicherweise – aber nicht, indem sie einfach einen weiteren KI-Scanner hinzufügen.

Die robustere Architektur verbindet mehrere Schritte zu einem durchgängigen Arbeitskreislauf:

1. Code und Angriffsfläche kartieren, damit die Agenten verstehen, was das System tut.
2. Ein Bedrohungsmodell erstellen und prüfen, bevor im großen Stil Schwachstellenhypothesen erzeugt werden.
3. Mehrere Agenten und Modelle einsetzen, die aus unterschiedlichen Perspektiven suchen und schwache Ergebnisse hinterfragen.
4. Schwachstellen reproduzieren und priorisieren, unterstützt durch menschliche Experten und belastbare Hinweise auf Ausnutzbarkeit.
5. Verantwortungsvoll offenlegen und dauerhaft beheben, über die jeweils geeigneten Koordinationsprozesse.
6. Die Gefährdung sofort eindämmen, etwa durch Netzwerkregeln oder andere kompensierende Maßnahmen.
7. Die Behebung verifizieren, sobald der Software-Patch ausgerollt wurde.

Die strategische Lehre aus AVDH und NOVA lautet daher: Der Vorteil entsteht durch Orchestrierung, nicht durch die Ausgabe eines einzelnen Modells. KI kann die Entdeckung und Validierung komprimieren. Verteidiger brauchen aber weiterhin verlässliche Belege, sorgfältige Priorisierung, widerstandsfähige Architekturen und Bereitstellungssysteme, die im gleichen Tempo handeln können.

Auch Angreifer können vergleichbare Modelle einsetzen. Virtuelle Patches bleiben zudem vorübergehend und von ihrer Abdeckung abhängig. Das realistische Ziel ist deshalb nicht, das Zero-Day-Risiko vollständig zu beseitigen. Entscheidend ist, die defensive Kette – von der Entdeckung über die Eindämmung bis zur dauerhaften Behebung – schneller und zuverlässiger zu machen als den Weg des Angreifers von der Entdeckung zur Ausnutzung.