Anthropic stufte das Modell als zu gefährlich für die allgemeine Veröffentlichung ein und arbeitete stattdessen mit ausgewählten Partnern – darunter Cisco – zusammen, um es defensiv einzusetzen . Doch die Demonstration bewies einen Punkt, den Ciscos Sicherheitsführung befürchtet hatte: KI-Modelle an der Frontlinie können Software-Schwachstellen jetzt schneller finden und ausnutzen als jedes menschliche Team und verkürzen den traditionellen Zyklus von Schwachstelle zu Patch von Wochen auf Minuten .

Auf der Cisco Live 2026 reagierte der Netzwerkriese mit Live Protect, einer Laufzeit-Sicherheitsplattform, die Software nicht patcht, sondern laufende Infrastruktur in Echtzeit vor bestimmten Schwachstellen abschirmt.

Was ist Cisco Live Protect?

Cisco Live Protect ist eine Laufzeit-Sicherheitsfähigkeit, die direkt in NX-OS, dem Betriebssystem von Cisco Nexus Switches, integriert ist. Sie ermöglicht Administratoren, von Cisco validierte kompensierende Kontrollen – sogenannte „Schilder“ – gegen bestimmte Schwachstellen auf laufenden Systemen einzusetzen, ohne Neustarts, Software-Upgrades oder Wartungsfenster .

Cisco stellt klar, was Live Protect nicht ist: Es ist kein Patch und ersetzt keine permanenten Software-Fixes. Es handelt sich um eine temporäre, gezielte Notfallkontrolle, die das Risiko unmittelbar nach der Offenlegung einer Schwachstelle mindert, während die IT-Teams den permanenten Patch über normale Change-Control-Prozesse testen, planen und bereitstellen . Cisco beschreibt es als „digitales Immunsystem“ für seine Produkte .

Wie eBPF und Tetragon die Schilder antreiben

Im Kern läuft Live Protect auf eBPF (extended Berkeley Packet Filter) und Tetragon, Technologien, die von Ciscos Isovalent-Team entwickelt wurden – demselben Team hinter dem Open-Source-Projekt Cilium . eBPF ermöglicht es, Sicherheitsrichtlinien direkt im Kernel der Switch-Kontrollebene auszuführen, mit vollem Systemkontext und minimaler Latenz .

Dieser Kernel-Ansatz bedeutet, dass Live Protect Verhalten am Ausführungspunkt beobachten und durchsetzen kann, anstatt auf externe Überwachung oder verzögerte Antwort-Workflows angewiesen zu sein. Es schützt vor Privilegieneskalations-Schwachstellen und DDoS-Angriffen auf die Netzwerk-Kontrollebene, indem es Systemaufrufe abfängt, Prozesse überwacht und Dateiaktivitäten verfolgt .

Betriebsmodi und Lebenszyklus der Schilder

Live-Protect-Schilder arbeiten in drei verschiedenen Modi, die Administratoren die Kontrolle darüber geben, wie aggressiv sie auf Bedrohungen reagieren :

• Monitor-Modus: Erkennt und protokolliert potenzielle Exploit-Aktivitäten, ohne sie zu blockieren. Dieser Modus eignet sich zur Validierung und zum Testen vor der Durchsetzung.
• Enforce-Modus: Blockiert die gezielte Schwachstelle aktiv zur Laufzeit und verhindert so die Ausnutzung des laufenden Systems.
• Disable-Modus: Schaltet ein bestimmtes Schild aus, nützlich, wenn eine Schwachstelle nicht mehr relevant ist oder das Schild den legitimen Betrieb stört.

Ein entscheidendes Designprinzip ist die automatische Außerdienststellung der Schilder. Sobald ein permanenter Patch eingespielt und die Schwachstelle vollständig behoben ist, wird das entsprechende Laufzeitschild automatisch zurückgezogen . Dies verhindert, dass kompensierende Kontrollen zu dauerhafter Infrastruktur werden – ein häufiges Risiko bei temporären Fixes in Produktionsumgebungen.

Live Protect ist ab sofort auf den Cisco Nexus 9000 Series Switches allgemein verfügbar, mit Unterstützung für N9300 Series Smart Switches und Plänen zur Ausweitung auf das gesamte Cisco-Portfolio .

Warum Claude Mythos Cisco zum Handeln zwang

Die Dringlichkeit hinter dem Launch von Live Protect steht in direktem Zusammenhang mit Anthropics Claude Mythos Preview. Anfang April 2026 offenbarte Anthropic, dass sein unveröffentlichtes Modell eigenständig Tausende von Zero-Day-Schwachstellen in allen großen Betriebssystemen und Webbrowsern identifiziert und funktionierende Exploits dafür geschrieben hatte – darunter Fehler, die jahrzehntelange manuelle Code-Reviews und Millionen automatisierter Sicherheitstests überstanden hatten .

Cisco war einer von 12 Startpartnern in Project Glasswing, Anthropics Programm mit eingeschränktem Zugang, um Mythos defensiv zu nutzen und Sicherheitslücken zu finden und zu schließen, bevor sie bewaffnet werden konnten . Die Übung zeigte, dass die KI-beschleunigte Schwachstellensuche die Bedrohungslandschaft grundlegend verändert hatte.

Die eigene Stellungnahme des Unternehmens war unmissverständlich: „KI-Modelle an der Frontlinie wie Anthropics Claude Mythos können Software-Schwachstellen jetzt umfassend und schneller identifizieren als jedes menschliche Team. Die Geschwindigkeit KI-gestützter Angriffe hat den traditionellen Patch-Zyklus grundlegend gebrochen und das Zeitfenster für Exploits von Wochen auf Minuten verkürzt“ .

Zweimal monatliche Schwachstellen-Offenlegung: Ein Strategiewechsel

Cisco nutzte die Cisco Live 2026 auch, um einen grundlegenden Wandel seines Modells zur Offenlegung von Schwachstellen anzukündigen. Ab Juli 2026 wechselt das Unternehmen von Ad-hoc-Notfall-Patches zu einem planmäßigen, zweimal monatlichen Rhythmus :

• Die Offenlegungen erfolgen an den ersten und dritten Mittwochen jedes Monats.
• Cisco wird sieben Tage im Voraus mitteilen, welche Technologien in der jeweiligen Veröffentlichung abgedeckt werden.
• Ziel ist es, den Kunden Planungssicherheit für Wartungsfenster zu geben, statt auf Notfall-Warnmeldungen zu unvorhersehbaren Zeiten reagieren zu müssen .

Diese Änderung wurde direkt durch die Beschleunigung der KI-gestützten Schwachstellensuche vorangetrieben, die das traditionelle reaktive Modell als nicht mehr tragfähig erscheinen ließ .

Cisco Cloud Control: Agentische KI für die Infrastruktur

Live Protect war nicht die einzige Ankündigung. Cisco stellte Cisco Cloud Control vor, eine agentische KI-Plattform für den Betrieb und die Verteidigung kritischer IT-Infrastruktur . Aufbauend auf der Cisco Data Fabric, die von Splunk unterstützt wird, bietet Cloud Control domänenübergreifende Telemetrie über alle Cisco-Produkte, Plattformen, Dienste und Agenten hinweg und nutzt speziell entwickelte KI-Modelle, um Betrieb, Telemetrie und Sicherheitslage zu verbessern . Es adressiert auch die Post-Quantum-Bereitschaft, indem es Netzwerke und Verschlüsselung auf Bedrohungen aus dem Quantenzeitalter vorbereitet .

Resilient Infrastructure Services: Ein Drei-Phasen-Framework

Cisco kündigte außerdem die Resilient Infrastructure Services an, ein strukturiertes, dreiphasiges Dienstleistungs-Framework, das speziell für die Ära der KI-beschleunigten Schwachstellen entwickelt wurde . Verfügbar ab Juli 2026, umfasst das Framework :

• Phase 1 – Bewertung der Gefährdungslage: Sofortige Erkennung und Risikokartierung. Cisco kartiert die Angriffsfläche und die Bedrohungen für die Infrastruktur und liefert priorisierte Sicherheits- und Betriebsaktionen.
• Phase 2 – Strukturierte Behebung: Anwendung kompensierender Kontrollen und Aufbau eines Pfades zur vollständigen Patch-Bereitstellung, während Produktteams permanente Fixes entwickeln.
• Phase 3 – Kontinuierliche Resilienz: Fortlaufende Härtung und Anpassung, während Cisco seine Fähigkeiten erweitert und neue Bedrohungen auftauchen.

Die Phasen sind nicht streng sequenziell, sondern bilden einen iterativen Zyklus, der sich mit der sich entwickelnden Bedrohungslandschaft anpasst .

Die Ankündigung spiegelt einen breiteren Wandel in Ciscos Sicherheitsphilosophie wider: weg von der Behandlung des Patchens als periodische Wartungsaktivität hin zur Behandlung der Schwachstellenabwehr als kontinuierliche, immer aktive operative Verantwortung. Die in Live Protect integrierten Laufzeitschilder, kombiniert mit dem planbaren Offenlegungsrhythmus und den strukturierten Resilienz-Diensten, stellen eine koordinierte Antwort auf eine Welt dar, in der KI-Modelle Schwachstellen schneller finden und ausnutzen können, als Unternehmen sie patchen können.

Es ist kein Patch. Es ist ein Schild – und für Netzwerkbetreiber, die mit der Realität KI-gestützter Zero-Days konfrontiert sind, ist es der Atemspielraum, den sie vorher nicht hatten.

Anthropic stufte das Modell als zu gefährlich für die allgemeine Veröffentlichung ein und arbeitete stattdessen mit ausgewählten Partnern – darunter Cisco – zusammen, um es defensiv einzusetzen . Doch die Demonstration bewies einen Punkt, den Ciscos Sicherheitsführung befürchtet hatte: KI-Modelle an der Frontlinie können Software-Schwachstellen jetzt schneller finden und ausnutzen als jedes menschliche Team und verkürzen den traditionellen Zyklus von Schwachstelle zu Patch von Wochen auf Minuten .

Auf der Cisco Live 2026 reagierte der Netzwerkriese mit Live Protect, einer Laufzeit-Sicherheitsplattform, die Software nicht patcht, sondern laufende Infrastruktur in Echtzeit vor bestimmten Schwachstellen abschirmt.

Was ist Cisco Live Protect?

Cisco Live Protect ist eine Laufzeit-Sicherheitsfähigkeit, die direkt in NX-OS, dem Betriebssystem von Cisco Nexus Switches, integriert ist. Sie ermöglicht Administratoren, von Cisco validierte kompensierende Kontrollen – sogenannte „Schilder“ – gegen bestimmte Schwachstellen auf laufenden Systemen einzusetzen, ohne Neustarts, Software-Upgrades oder Wartungsfenster .

Cisco stellt klar, was Live Protect nicht ist: Es ist kein Patch und ersetzt keine permanenten Software-Fixes. Es handelt sich um eine temporäre, gezielte Notfallkontrolle, die das Risiko unmittelbar nach der Offenlegung einer Schwachstelle mindert, während die IT-Teams den permanenten Patch über normale Change-Control-Prozesse testen, planen und bereitstellen . Cisco beschreibt es als „digitales Immunsystem“ für seine Produkte .

Wie eBPF und Tetragon die Schilder antreiben

Im Kern läuft Live Protect auf eBPF (extended Berkeley Packet Filter) und Tetragon, Technologien, die von Ciscos Isovalent-Team entwickelt wurden – demselben Team hinter dem Open-Source-Projekt Cilium . eBPF ermöglicht es, Sicherheitsrichtlinien direkt im Kernel der Switch-Kontrollebene auszuführen, mit vollem Systemkontext und minimaler Latenz .

Dieser Kernel-Ansatz bedeutet, dass Live Protect Verhalten am Ausführungspunkt beobachten und durchsetzen kann, anstatt auf externe Überwachung oder verzögerte Antwort-Workflows angewiesen zu sein. Es schützt vor Privilegieneskalations-Schwachstellen und DDoS-Angriffen auf die Netzwerk-Kontrollebene, indem es Systemaufrufe abfängt, Prozesse überwacht und Dateiaktivitäten verfolgt .

Betriebsmodi und Lebenszyklus der Schilder

Live-Protect-Schilder arbeiten in drei verschiedenen Modi, die Administratoren die Kontrolle darüber geben, wie aggressiv sie auf Bedrohungen reagieren :

• Monitor-Modus: Erkennt und protokolliert potenzielle Exploit-Aktivitäten, ohne sie zu blockieren. Dieser Modus eignet sich zur Validierung und zum Testen vor der Durchsetzung.
• Enforce-Modus: Blockiert die gezielte Schwachstelle aktiv zur Laufzeit und verhindert so die Ausnutzung des laufenden Systems.
• Disable-Modus: Schaltet ein bestimmtes Schild aus, nützlich, wenn eine Schwachstelle nicht mehr relevant ist oder das Schild den legitimen Betrieb stört.

Ein entscheidendes Designprinzip ist die automatische Außerdienststellung der Schilder. Sobald ein permanenter Patch eingespielt und die Schwachstelle vollständig behoben ist, wird das entsprechende Laufzeitschild automatisch zurückgezogen . Dies verhindert, dass kompensierende Kontrollen zu dauerhafter Infrastruktur werden – ein häufiges Risiko bei temporären Fixes in Produktionsumgebungen.

Live Protect ist ab sofort auf den Cisco Nexus 9000 Series Switches allgemein verfügbar, mit Unterstützung für N9300 Series Smart Switches und Plänen zur Ausweitung auf das gesamte Cisco-Portfolio .

Warum Claude Mythos Cisco zum Handeln zwang

Die Dringlichkeit hinter dem Launch von Live Protect steht in direktem Zusammenhang mit Anthropics Claude Mythos Preview. Anfang April 2026 offenbarte Anthropic, dass sein unveröffentlichtes Modell eigenständig Tausende von Zero-Day-Schwachstellen in allen großen Betriebssystemen und Webbrowsern identifiziert und funktionierende Exploits dafür geschrieben hatte – darunter Fehler, die jahrzehntelange manuelle Code-Reviews und Millionen automatisierter Sicherheitstests überstanden hatten .

Cisco war einer von 12 Startpartnern in Project Glasswing, Anthropics Programm mit eingeschränktem Zugang, um Mythos defensiv zu nutzen und Sicherheitslücken zu finden und zu schließen, bevor sie bewaffnet werden konnten . Die Übung zeigte, dass die KI-beschleunigte Schwachstellensuche die Bedrohungslandschaft grundlegend verändert hatte.

Die eigene Stellungnahme des Unternehmens war unmissverständlich: „KI-Modelle an der Frontlinie wie Anthropics Claude Mythos können Software-Schwachstellen jetzt umfassend und schneller identifizieren als jedes menschliche Team. Die Geschwindigkeit KI-gestützter Angriffe hat den traditionellen Patch-Zyklus grundlegend gebrochen und das Zeitfenster für Exploits von Wochen auf Minuten verkürzt“ .

Zweimal monatliche Schwachstellen-Offenlegung: Ein Strategiewechsel

Cisco nutzte die Cisco Live 2026 auch, um einen grundlegenden Wandel seines Modells zur Offenlegung von Schwachstellen anzukündigen. Ab Juli 2026 wechselt das Unternehmen von Ad-hoc-Notfall-Patches zu einem planmäßigen, zweimal monatlichen Rhythmus :

• Die Offenlegungen erfolgen an den ersten und dritten Mittwochen jedes Monats.
• Cisco wird sieben Tage im Voraus mitteilen, welche Technologien in der jeweiligen Veröffentlichung abgedeckt werden.
• Ziel ist es, den Kunden Planungssicherheit für Wartungsfenster zu geben, statt auf Notfall-Warnmeldungen zu unvorhersehbaren Zeiten reagieren zu müssen .

Diese Änderung wurde direkt durch die Beschleunigung der KI-gestützten Schwachstellensuche vorangetrieben, die das traditionelle reaktive Modell als nicht mehr tragfähig erscheinen ließ .

Cisco Cloud Control: Agentische KI für die Infrastruktur

Live Protect war nicht die einzige Ankündigung. Cisco stellte Cisco Cloud Control vor, eine agentische KI-Plattform für den Betrieb und die Verteidigung kritischer IT-Infrastruktur . Aufbauend auf der Cisco Data Fabric, die von Splunk unterstützt wird, bietet Cloud Control domänenübergreifende Telemetrie über alle Cisco-Produkte, Plattformen, Dienste und Agenten hinweg und nutzt speziell entwickelte KI-Modelle, um Betrieb, Telemetrie und Sicherheitslage zu verbessern . Es adressiert auch die Post-Quantum-Bereitschaft, indem es Netzwerke und Verschlüsselung auf Bedrohungen aus dem Quantenzeitalter vorbereitet .

Resilient Infrastructure Services: Ein Drei-Phasen-Framework

Cisco kündigte außerdem die Resilient Infrastructure Services an, ein strukturiertes, dreiphasiges Dienstleistungs-Framework, das speziell für die Ära der KI-beschleunigten Schwachstellen entwickelt wurde . Verfügbar ab Juli 2026, umfasst das Framework :

• Phase 1 – Bewertung der Gefährdungslage: Sofortige Erkennung und Risikokartierung. Cisco kartiert die Angriffsfläche und die Bedrohungen für die Infrastruktur und liefert priorisierte Sicherheits- und Betriebsaktionen.
• Phase 2 – Strukturierte Behebung: Anwendung kompensierender Kontrollen und Aufbau eines Pfades zur vollständigen Patch-Bereitstellung, während Produktteams permanente Fixes entwickeln.
• Phase 3 – Kontinuierliche Resilienz: Fortlaufende Härtung und Anpassung, während Cisco seine Fähigkeiten erweitert und neue Bedrohungen auftauchen.

Die Phasen sind nicht streng sequenziell, sondern bilden einen iterativen Zyklus, der sich mit der sich entwickelnden Bedrohungslandschaft anpasst .

Die Ankündigung spiegelt einen breiteren Wandel in Ciscos Sicherheitsphilosophie wider: weg von der Behandlung des Patchens als periodische Wartungsaktivität hin zur Behandlung der Schwachstellenabwehr als kontinuierliche, immer aktive operative Verantwortung. Die in Live Protect integrierten Laufzeitschilder, kombiniert mit dem planbaren Offenlegungsrhythmus und den strukturierten Resilienz-Diensten, stellen eine koordinierte Antwort auf eine Welt dar, in der KI-Modelle Schwachstellen schneller finden und ausnutzen können, als Unternehmen sie patchen können.

Es ist kein Patch. Es ist ein Schild – und für Netzwerkbetreiber, die mit der Realität KI-gestützter Zero-Days konfrontiert sind, ist es der Atemspielraum, den sie vorher nicht hatten.