HPE warnt: KI findet Softwarelücken schneller, als Unternehmen sie schließen können
KI verkürzt den Abstand zwischen dem Auffinden einer Softwarelücke und ihrer Ausnutzung, und Unternehmen müssen ihre Sicherheitsprozesse auf Maschinengeschwindigkeit bringen. Das schreibt HPE in einem Blogbeitrag. Das Unternehmen verweist auf Anthropics Claude Mythos als Vorgeschmack auf das Umfeld, mit dem sich nun alle Organisationen auseinandersetzen müssen.
- HPE zufolge verkürzt KI die Zeit zwischen Entdeckung und Ausnutzung von Schwachstellen und verweist dabei auf Anthropics Claude Mythos.
- Empfohlene Priorisierung: zuerst Einträge der CISA-KEV-Liste, dann Probleme mit einem EPSS-Wert über 0,5.
- Code mit KI-Unterstützung weist laut einer von HPE zitierten Studie etwa zehnmal mehr Sicherheitsbefunde auf.
- Die Meldepflichten des EU-CRA gelten ab dem 11. September 2026, die Anforderungen an Secure by Design ab dem 11. Dezember 2027.
- HPE rät außerdem zu Confidential Computing und zur frühzeitigen Vorbereitung auf Post-Quanten-Kryptografie.
Mythos als Warnsignal
HPE beginnt mit einem Beispiel aus dem April 2026. Laut dem Unternehmen fand Anthropics Claude Mythos in OpenBSD einen Fehler, der seit 1998 unentdeckt geblieben war, und das in einer der am gründlichsten geprüften Codebasen der Welt. Innerhalb weniger Wochen soll das Modell Tausende bislang unbekannter Schwachstellen in gängigen Betriebssystemen und Browsern aufgespürt, funktionierende Exploits geschrieben und diese mit wenig menschlicher Hilfe miteinander verkettet haben.
Anthropic stufte das Modell als zu gefährlich für eine Veröffentlichung ein, gewährte aber einer Gruppe von Verteidigern über Project Glasswing frühen Zugang. HPE zieht daraus für IT-Verantwortliche eine klare Lehre: Um eine Schwachstelle zu finden und auszunutzen, braucht es weder tiefes Fachwissen noch viel Zeit. Ein Sicherheitsvorfall bedeutet weiterhin Umsatzeinbußen, abgeflossenes geistiges Eigentum, Reputationsschäden und behördliche Bußgelder, doch die Zeit, ihn zu verhindern, ist geschrumpft.
Früh einbauen, laufend steuern, konsequent priorisieren
Sicherheitsprüfungen nur zum Release hält HPE für eine schlechte Wette und verweist darauf, dass "50 Dollar KI-Ausgaben eine jahrzehntealte Lücke aufspüren können". Reife Programme verankerten Sicherheit in jeder Phase: Bedrohungsanalyse der Architektur, Security-Code-Reviews und statische Analyse in der Entwicklung sowie Penetrationstests und Schwachstellenbewertungen vor der Veröffentlichung. Eine Lücke, die schon beim Design behoben wird, kostet deutlich weniger als eine im Produktivbetrieb.
Das Volumen wird zunehmend zum Problem. Laut HPE schreiben Entwickler mit KI-Unterstützung mehr Code, und Studien zufolge weist dieser Code etwa zehnmal mehr Sicherheitsbefunde auf. Der empfohlene Prozess: Befunde aus mehreren Quellen sammeln, bewerten, in einem Data Lake ablegen, dem richtigen Team zuweisen und jeden Befund anhand eines definierten SLA nachverfolgen.
Für die Priorisierung nennt HPE zwei öffentliche Quellen. Die US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) veröffentlicht eine Liste Known Exploited Vulnerabilities (KEV) mit Schwachstellen, die bereits in realen Angriffen ausgenutzt werden. Das Exploit Prediction Scoring System (EPSS) schätzt die Wahrscheinlichkeit, dass eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird. In Kombination ergibt sich die Reihenfolge: zuerst die in der KEV-Liste geführten Einträge, dann Probleme mit einem EPSS-Wert über 0,5. Auf dieser Grundlage hat das Sicherheitsteam von HPE Private Cloud nach eigenen Angaben VulnOps entwickelt, einen kontinuierlichen Prozess für das Schwachstellenmanagement.
Regulierung, Daten in Nutzung und Quantenrisiko
Der EU Cyber Resilience Act (CRA) erhöht den rechtlichen Druck. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Vorfälle innerhalb enger Fristen melden, eine Frühwarnung ist binnen 24 Stunden fällig. Bis zum 11. Dezember 2027 müssen Produkte die Anforderungen an Secure by Design erfüllen, um das CE-Zeichen zu tragen und in Europa verkauft werden zu dürfen. HPE weist darauf hin, dass die Meldepflicht auch Produkte betrifft, die bereits im Einsatz sind.
Außerdem empfiehlt das Unternehmen Confidential Computing, das Daten in Nutzung schützt, indem Workloads in hardwaregeschützten Umgebungen isoliert werden. Die Daten bleiben im Arbeitsspeicher verschlüsselt, und nur die CPU oder GPU, die sie benötigt, kann sie entschlüsseln. Mandantenfähige Umgebungen brauchen diesen Schutz laut HPE, und eine wachsende Zahl großer Anbieter von KI-Modellen verlange inzwischen Confidential Computing für Installationen vor Ort.
Beim Thema Quanten warnt HPE, dass Quantencomputer die Public-Key-Kryptografie bedrohen und gängige Verschlüsselungsschlüssel in wenigen Stunden bis zu einer Woche knacken könnten. Angreifer können verschlüsselte Daten schon heute sammeln, um sie später zu entschlüsseln, eine Praxis, die Forscher "harvest now, decrypt later" nennen. Gesundheitsdaten, Finanzdaten und geistiges Eigentum sind gefährdet, weshalb der Austausch anfälliger Algorithmen beginnen muss, bevor es Quantenrechner gibt.
Was das für Unternehmen bedeutet
HPEs Botschaft lautet: Langsam scannen und später patchen funktioniert nicht mehr. Organisationen sollen Sicherheit früh einplanen, Schwachstellen kontinuierlich managen, davon ausgehen, dass der Angreifer KI nutzt, die Regulierung erfüllen, Confidential Computing einführen und sich jetzt auf Quanten vorbereiten. Zudem seien im vergangenen Jahr festgelegte SLAs womöglich schon zu langsam, da die Zeit zwischen Entdeckung und aktiver Ausnutzung Forschern zufolge von Monaten auf Stunden schrumpfe.
Der Beitrag gibt die Sicht eines Anbieters wieder und wirbt für HPE Private Cloud, die nach Angaben des Unternehmens an all diesen Fronten daran arbeitet, ihre Nutzer zu unterstützen.
