AntwortenVeröffentlicht15 Quellen
KI findet Softwarelücken schneller, als Teams sie schließen können
Palo Alto Networks zufolge half KI dabei, mehr als 14.000 bislang unentdeckte Open Source Schwachstellen zu finden und in drei Wochen Ergebnisse eines Jahres manueller Penetrationstests zu erreichen. Der Engpass verlagert sich auf die Verifikation und Behebung: Ein möglicher Fund ist noch keine bestätigte Schwachste...
Veröffentlicht vonBearbeitet mit GPT-6 LunaBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- Palo Alto Networks zufolge half KI dabei, mehr als 14.000 bislang unentdeckte Open Source Schwachstellen zu finden und in drei Wochen Ergebnisse eines Jahres manueller Penetrationstests zu erreichen.
- Der Engpass verlagert sich auf die Verifikation und Behebung: Ein möglicher Fund ist noch keine bestätigte Schwachstelle und bedeutet nicht, dass bereits ein Patch veröffentlicht wurde.
- In einem kontrollierten Experiment nutzte das offen verfügbare Modell GLM 5.3 veröffentlichte, aber noch nicht ausgelieferte Firefox Fixes, um Angriffe für sechs Versionen zu entwickeln.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: As of October 31, 2026, how is AI-driven vulnerability discovery transforming software security, including Palo Alto Networks’ discovery of. Article summary: As of October 31, 2026, AI-driven vulnerability discovery is making security research much faster, while shifting the bottleneck toward human validation, remediation and patch deployment—and creating opportunities to exp. Topic tags: general, general web, user generated, news, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermark
KI verändert die Software-Sicherheit an zwei Stellen zugleich: Sie hilft, Schwachstellen schneller aufzuspüren – und kann Angreifern dabei helfen, aus öffentlich bekannten Hinweisen Exploits zu bauen, bevor Updates alle Nutzer erreicht haben. Die Herausforderung besteht deshalb nicht mehr nur darin, Fehler zu finden. Teams müssen Befunde auch prüfen, beheben und Sicherheitsupdates zügig ausrollen.3
KI beschleunigt die Suche nach Schwachstellen
Palo Alto Networks erklärte gegenüber The Economic Times, KI habe dabei geholfen, mehr als 14.000 zuvor unentdeckte Schwachstellen in Open-Source-Software zu identifizieren. Außerdem habe die Analyse in drei Wochen Ergebnisse erreicht, für die manuelle Penetrationstests ein Jahr benötigt hätten.19 Das ist eine von einem Unternehmen berichtete Leistung – kein unabhängig bestätigter Vergleichswert in den hier vorliegenden Belegen.
Anthropics Zahlen zeigen, warum mehr entdeckte mögliche Schwachstellen nicht automatisch mehr bestätigte oder behobene Fehler bedeuten. Das Unternehmen teilte mit, seine Modelle hätten in sechs Monaten mehr als 29.000 mögliche Schwachstellen gefunden. Menschen hätten davon rund 6.000 manuell geprüft und bewertet. Dabei handelt es sich um unterschiedliche Kategorien: Ein möglicher Fund ist nicht zwangsläufig eine bestätigte Schwachstelle; eine geprüfte Meldung wiederum bedeutet noch nicht, dass das zuständige Open-Source-Projekt einen Patch veröffentlicht hat.
Anthropics freiwillig nutzbarer OSS Scanner bietet geeigneten Open-Source-Projekten kostenlose, regelmäßige Prüfungen mit den Modellen des Unternehmens, darunter Claude Mythos. Meldungen können teilnehmende Maintainer erreichen, ohne zuvor von Menschen geprüft worden zu sein. So könnten Hinweise früher bei den Verantwortlichen ankommen. Zugleich werden Umfang und Qualität dieser Meldungen wichtiger. Die verfügbaren Angaben belegen nicht die genaue Zahl der Funde am 2. Oktober oder die anderswo genannten Zahlen zu Upstream-Fixes.
Der Engpass liegt bei Prüfung und Behebung
Anthropic hat erklärt, dass die eigene Kapazität für die menschliche Prüfung begrenzt ist. TechTarget beschreibt den Scanner als ein Angebot, das einen größeren Teil der Arbeit bei der Bearbeitung von Schwachstellen auf die Maintainer verlagert. Ein brauchbarer Hinweis muss oft erst nachvollzogen und auf seine Auswirkungen geprüft werden. Danach folgen die Entwicklung und der Test eines Fixes sowie dessen Veröffentlichung. Mehr Meldungen zu erhalten heißt nicht, dass diese Arbeit bereits erledigt ist.
Für Projekte mit begrenzten Sicherheitsressourcen ist es sinnvoll, zunächst Meldungen zu priorisieren, die sich reproduzieren lassen und betroffenen Code sowie mögliche Auswirkungen klar benennen. Auch Unternehmen, die auf Open-Source-Software angewiesen sind, können dazu beitragen, deren Pflege und Absicherung zu finanzieren. Die Electronic Frontier Foundation (EFF) hat ausdrücklich mehr Unterstützung für Open-Source-Projekte gefordert. Die vorliegenden Belege bestätigen jedoch nicht die konkreten Behauptungen über Burnout bei Maintainer-Teams oder bestimmte Änderungen bei der Besetzung einzelner Projekte.
Die Zeit zwischen Fix und Update kann Angreifern helfen
KI-gestützte Schwachstellensuche kann der Verteidigung dienen. Doch technische Informationen über Sicherheitsfixes können auch Hinweise auf die zugrunde liegenden Fehler liefern. Epoch AI berichtete, dass GLM 5.3, ein offen verfügbares Modell von Z.ai, öffentlich bekannte, aber noch nicht ausgelieferte Firefox-Fixes nutzte, um funktionierende Angriffe für sechs Firefox-Versionen zu entwickeln. Die zusätzlichen Kosten bezifferte Epoch AI auf etwa 1.000 US-Dollar je erfolgreichem Angriff.3
Das war ein kontrolliertes Experiment und kein Beleg dafür, dass diese Angriffe gegen Firefox-Nutzer eingesetzt wurden. Der Versuch macht dennoch das Risiko der sogenannten Patch-Lücke sichtbar: die Zeitspanne zwischen der Veröffentlichung von Informationen zu einem Fix und der Auslieferung des Updates an Nutzer. Sekundärberichte zufolge behob Mozilla eine relevante Schwachstelle mit Firefox 159.0.2
9
Die Schlussfolgerung lautet nicht, dass Sicherheitsfixes besser geheim bleiben sollten: Nutzer brauchen Updates, um geschützt zu sein. Verteidiger müssen vielmehr damit rechnen, dass technische Details sehr schnell analysiert werden können – und Updates entsprechend zügig bereitstellen.3
Hohe Patch-Zahlen brauchen Einordnung
Der Microsoft-Patchday im Oktober zeigt, warum Sicherheitszahlen mit Vorsicht gelesen werden sollten. Microsofts Versionshinweise nennen 1.468 CVEs, während Veracode für die Veröffentlichung 1.413 Schwachstellen angibt. Die verfügbaren Belege erklären die Abweichung nicht. Veracode hebt außerdem eine aktiv ausgenutzte Sicherheitsfunktionsumgehung in der Windows Shell hervor. Die Gesamtzahl allein zeigt weder, wodurch das hohe Volumen zustande kam, noch wie viele der Probleme mit KI gefunden wurden.
Ein weiteres Beispiel verdeutlicht den Aufwand bei der Reaktion auf Sicherheitslücken: Laut CERT-EU kündigte das PHP-Projekt am 20. Oktober zwei kritische Schwachstellen an und veröffentlichte am folgenden Tag Fixes. Reuters berichtete, sieben Fachleute aus der Cybersicherheit hätten vor möglichen weiteren Störungen durch KI-entdeckte Schwachstellen gewarnt.17 Das ist eine Warnung vor möglichen Folgen – kein Beleg dafür, dass KI-gestützte Entdeckungen zwangsläufig zu Vorfällen führen.
Schnelleres Finden ist noch kein eindeutiger Sicherheitsgewinn
KI kann Verteidigern helfen, Schwachstellen früher zu entdecken. Das Firefox-Experiment zeigt jedoch, dass sich auch die Entwicklung von Exploits beschleunigen kann.3 Die hier verfügbaren Quellen klären nicht, welche Seite insgesamt stärker davon profitiert. Kurzfristig kommt es vor allem darauf an, Entdeckungen mit wirksamer Prüfung und zeitnah ausgerollten Fixes zu verbinden – damit aus mehr Meldungen nicht bloß eine längere Warteschlange für Maintainer und Nutzer wird.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „KI findet Softwarelücken schneller, als Teams sie schließen können“?
Palo Alto Networks zufolge half KI dabei, mehr als 14.000 bislang unentdeckte Open Source Schwachstellen zu finden und in drei Wochen Ergebnisse eines Jahres manueller Penetrationstests zu erreichen.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Palo Alto Networks zufolge half KI dabei, mehr als 14.000 bislang unentdeckte Open Source Schwachstellen zu finden und in drei Wochen Ergebnisse eines Jahres manueller Penetrationstests zu erreichen. Der Engpass verlagert sich auf die Verifikation und Behebung: Ein möglicher Fund ist noch keine bestätigte Schwachstelle und bedeutet nicht, dass bereits ein Patch veröffentlicht wurde.
Was soll ich als nächstes in der Praxis tun?
In einem kontrollierten Experiment nutzte das offen verfügbare Modell GLM 5.3 veröffentlichte, aber noch nicht ausgelieferte Firefox Fixes, um Angriffe für sechs Versionen zu entwickeln.