KI findet mehr Lücken – doch beim Risiko bleibt der Mensch gefragt

NetSPI und Synack stellen sich gegen einen der lautesten Trends der IT-Sicherheit: vollautomatisierte Penetrationstests. Die beiden Anbieter haben am 2. September ihre Fusion angekündigt. Der Zusammenschluss soll im Oktober abgeschlossen werden und offensive Security-Experten mit agentischer KI verbinden. „KI verändert Security-Tests, aber es sind immer noch Experten, die die Schwachstellen finden, die zu echten Einbrüchen führen“, begründet Synack-Chef Jay Kaplan den Ansatz.

Im Labor stark, in realen Netzen mit Lücken

Wie weit KI bereits gekommen ist, zeigt eine Studie von Stanford University und Carnegie Mellon University. Zehn professionelle Pentester traten gemeinsam mit sechs KI-Systemen gegen ein reales Universitätsnetz mit rund 8.000 Hosts an. Der Multi-Agenten-Ansatz ARTEMIS belegte Platz zwei und fand neun gültige Schwachstellen – mehr als neun der zehn menschlichen Teilnehmer.

Die Studie zeigt aber auch Grenzen: KI-Agenten erzeugten häufiger Fehlalarme und hatten Schwierigkeiten mit grafischen Benutzeroberflächen. Vor allem komplexe Zusammenhänge, Geschäftslogik und die Bewertung, welche Schwachstelle tatsächlich ausnutzbar und geschäftskritisch ist, bleiben anspruchsvoll.

Zugriffskontrollen werden zum Härtetest

Genau dort wächst das Risiko. In den Common Weakness Enumeration Top 25 (CWE Top 25) 2025 stieg „Missing Authorization“ um fünf Plätze auf Rang vier. Weitere Fehler rund um Authentifizierung und Berechtigungen rückten ebenfalls auf.

Auch das Open Worldwide Application Security Project (OWASP) führt „Broken Access Control“ 2025 weiter auf Platz eins seiner Webrisiken. In den zugrunde liegenden Daten tauchten entsprechende Probleme in allen erfassten Anwendungssätzen auf. Gerade solche Fehler verlangen Kontext: Welche Rolle darf welche Aktion ausführen, welche Prozessschritte lassen sich kombinieren und wo entsteht daraus ein realer Angriffspfad?

KI verlagert den Engpass

Dass KI dennoch enorme Fortschritte macht, zeigt Anthropic. Partner des Projekts Glasswing fanden mit Claude Mythos Preview innerhalb weniger Wochen mehr als 10.000 Schwachstellen mit hoher oder kritischer Einstufung. Anthropic beschreibt damit zugleich ein neues Problem: Nicht mehr das Finden der Lücken begrenze den Fortschritt, sondern deren Verifizierung, Offenlegung und Behebung.

Ähnlich reagiert das National Institute of Standards and Technology (NIST). Obwohl die National Vulnerability Database (NVD) 2025 fast 42.000 CVEs anreicherte – 45 Prozent mehr als im bisherigen Rekordjahr –, reicht die Kapazität nicht mehr für alle Meldungen. Seit April priorisiert das NIST deshalb besonders relevante Schwachstellen.

Fusion setzt auf KI plus Urteilskraft

NetSPI bringt vor allem Penetration Testing as a Service ein, Synack sein geprüftes Red Team und Sara AI Pentesting. Zusammen kommen die Unternehmen nach eigenen Angaben auf mehr als 13 Millionen Stunden praktische Testerfahrung.

Die Strategie dahinter ist weniger KI-Skepsis als eine Verschiebung der Aufgaben: Maschinen können Angriffsflächen schneller durchsuchen und potenzielle Lücken massenhaft aufspüren. Menschen müssen bestimmen, welcher Fund wirklich ausnutzbar ist, welche Angriffskette daraus entsteht und welches Risiko zuerst behoben werden muss. Die Zukunft offensiver Cybersicherheit dürfte deshalb nicht „KI oder Experte“ heißen, sondern KI, die menschliches Urteilsvermögen erheblich skaliert.

Weitere Artikel zum Thema: 

Abwehrstrategien gegen Angriffe mit KI

Echtzeit statt Momentaufnahme

Penetrationstest