AegisAI stellt Proteus vor: E-Mail-Sicherheitsmodell prüft jede einzelne Nachricht

Untersuchen statt Muster abgleichen

Herkömmliche E-Mail-Sicherheit stützt sich laut AegisAI auf historische Angriffssignaturen, Regeln und Verhaltensprofile. Proteus prüft stattdessen, wer eine Nachricht gesendet hat, wohin ihre Links führen und was sie verlangt. Nach Angaben des Unternehmens sind weder frühere Verhaltensdaten noch ein Musterabgleich nötig, sodass auch neuartige Angriffe erkannt werden könnten.

Das Modell überprüft die Behauptungen, auf denen eine Phishing-Mail beruht, anhand von Signalen, die außerhalb der Kontrolle des Angreifers liegen. AegisAI nennt als Beispiele das tatsächliche Ziel eines Links, den bisherigen Schriftverkehr zwischen Absender und Empfänger, Routing- und Header-Daten sowie das Verhalten der Absenderinfrastruktur an anderer Stelle.

Menschliche Analysten bestätigten Angriffe schon lange auf diese Weise, argumentiert AegisAI, doch manuelle Untersuchungen skalierten nicht über wenige Nachrichten pro Tag hinaus. Deshalb bewerteten die meisten Sicherheitslösungen alles nach Ähnlichkeit und untersuchten nur markierte Nachrichten, oft erst nach der Zustellung. Proteus schließe diese Lücke, indem es jede Nachricht beim Eingang untersuche, so das Unternehmen.

Proteus liest eine E-Mail nicht als reinen Text. Es verarbeitet jede Nachricht als strukturiertes Objekt, das Inhalt, Header, Absender- und Empfängerhistorie, bereinigte Link- und Anhangsdaten sowie Threat Intelligence kombiniert, mit einem eigens darauf ausgelegten Tokenizer. Laut AegisAI senkt das die Token-Kosten und steigert die Genauigkeit.

Die Bedrohung: maschinell geschriebene Angriffe

Generative KI habe die Ökonomie beseitigt, die Angreifer früher dazu zwang, Kampagnen wiederzuverwenden, sagt AegisAI. "Was früher Staaten vorbehalten war, steht heute der breiten Cyberkriminellen-Szene frei zur Verfügung", sagte Cy Khormaee, Gründer und CEO von AegisAI.

Nach Angaben des Unternehmens stieg der Anteil KI-generierten Spear-Phishings an dem von ihm beobachteten Phishing im Lauf des Jahres 2025 von unter 1 % auf mehr als ein Fünftel und werde bei gleichem Tempo bis 2028 den Großteil der Angriffe ausmachen. Zudem verweist AegisAI auf eine kontrollierte Studie, in der vollautomatisch von KI verfasstes Spear-Phishing eine Klickrate von 54 % erreichte. Das entspricht Nachrichten menschlicher Experten und liegt mehr als viermal so hoch wie die 12 % bei generischem Phishing.

Als Beispiel schildert AegisAI einen Kundenvorfall, bei dem Angreifer mit einer bösartigen OAuth-Freigabe ein Google-Workspace-Konto übernahmen und Ausschreibungseinladungen an die Lieferanten des Kunden verschickten. Da die Nachrichten vom kompromittierten Konto stammten, bestanden alle die Prüfungen per SPF, DKIM und DMARC. AegisAI zufolge markierte Proteus die erste Nachricht 89 Minuten, bevor der Alarm zur Kontoübernahme ausgelöst wurde.

Das Unternehmen warnt zudem davor, sich bei der E-Mail-Abwehr auf universelle Frontier-Modelle zu verlassen. Diese seien darauf ausgelegt, den vorliegenden Anweisungen zu folgen, und genau diese Neigung nutzten Phishing-Mails aus. Außerdem könnten Angreifer öffentlich verfügbare Modelle beliebig oft und unbeobachtet testen.

Benchmark-Ergebnisse und Grenzen

Die Auswertung stützte sich auf 3.020 von Menschen verifizierte Phishing-Angriffe aus einer einzigen Woche des Produktivverkehrs von AegisAI, von denen keiner in den Trainingsdaten von Proteus enthalten war. Alle drei Modelle bewerteten denselben Datensatz unter denselben Bedingungen. Jedes Ergebnis außer einem Phishing-Urteil, auch ein Spam-Label, zählte als Fehlerkennung.

• Das führende proprietäre Modell übersah 565 Angriffe, das Open-Weight-Modell 604, laut AegisAI rund 30-mal so viele wie Proteus.
• Proteus war im Median 7,2-mal schneller als das proprietäre Modell und bei den langsamsten 5 % der Urteile 26-mal schneller.
• In einem Ablationstest erkannte dasselbe Modell mit Belegen zur Inferenzzeit 8,4 % mehr Phishing als ohne.
• Laut AegisAI liegen 82 % der bewerteten Nachrichten in einem nutzbaren Konfidenzbereich, bei einem erwarteten Kalibrierungsfehler von 0,037 vor jeder nachträglichen Anpassung.

Die Geschwindigkeit führt das Unternehmen auf ein Modell für eine Dreifach-Entscheidung, einen einzelnen Inferenzdurchlauf ohne Sampling und selbst gehostete Infrastruktur zurück. Tempo ist wichtig, weil E-Mail-Sicherheit inline arbeitet und jede Nachricht bis zum Urteil zurückhält.

AegisAI räumt mehrere Einschränkungen ein. Der Benchmark zählt nur verpasste Erkennungen, Daten zu Fehlalarmen will das Unternehmen veröffentlichen, sobald Proteus länger im Produktivbetrieb ist. Die Allzweckmodelle erhielten lediglich die Nachricht und eine schlichte Klassifizierungsanweisung, was die Nutzung ab Werk widerspiegelt, nicht ihre optimierte Obergrenze. Zudem umfasst die Stichprobe nur eine Woche Datenverkehr von AegisAIs eigenen Kunden.

Laufende Updates und Ausblick

Proteus wird laut AegisAI fortlaufend neu trainiert. Jede neue Version muss Angriffstests (Adversarial Testing) in neun Angriffsfamilien bestehen und anschließend parallel zur aktuellen Version im Live-Verkehr laufen. Sie ersetzt die aktuelle Version nur, wenn sie besser abschneidet.

Das Unternehmen ordnet die Veröffentlichung in eine breitere Branchendebatte ein. Es verweist darauf, dass OpenAI vor einem "Defender's Window" gewarnt hat, einem begrenzten Zeitraum, in dem Verteidiger über dieselben KI-Fähigkeiten verfügen wie Angreifer, und dass Anthropic geprüften Sicherheitsteams über sein Cyber Verification Program gestaffelten Zugang bietet. Aus Sicht von AegisAI ist ein leistungsfähiges Allzweckmodell ein Ausgangspunkt für die Abwehr, keine Abwehr für sich allein.

Proteus ist das erste Modell einer geplanten Familie von AegisAI-Lab-Modellen, ergänzt um darauf aufbauende Untersuchungswerkzeuge. Für Sicherheitsteams stammen die Angaben bislang vom Unternehmen selbst und beruhen auf dessen internem Benchmark, sodass Daten zu Fehlalarmen aus dem Produktivbetrieb das fehlende Puzzlestück sind. AegisAIs erklärtes Ziel ist, dass jede E-Mail, die einen Mitarbeiter erreicht, anhand der dahinterliegenden Belege beurteilt wird und nicht danach, wie sehr sie früheren Angriffen ähnelt.