Wiz kombiniert Red und Blue Agent und bringt KI-Angriff und -Verteidigung ins SOC

Warum reaktive SOC-Arbeit laut Wiz nicht mehr genügt

Wiz argumentiert, dass die meisten SOC-Teams erst dann mit der Untersuchung beginnen, wenn ein Bedrohungsalarm ausgelöst wird. Dieses Modell sei für Angreifer gebaut worden, die in menschlichem Tempo vorgingen und sich überwiegend auf bekannte Exploits stützten. Das Unternehmen verweist auf zwei Entwicklungen, die das ändern.

• Organisationen liefern mehr individuell entwickelten Code aus, unterstützt durch KI-gestützte Entwicklung. Laut Wiz können diese Anwendungen logikbasierte Schwachstellen wie fehlerhafte Autorisierung und Umgehungen der Authentifizierung enthalten, die signaturbasierte Scanner nicht erkennen.
• Angreifer nutzen laut Wiz moderne Frontier-KI-Modelle, um Perimeter zu scannen, exponierte Anwendungen zu finden und Schwachstellen innerhalb von Stunden statt Monaten auszunutzen. KI senke zudem die Einstiegshürde, sodass mehr Angreifer individuelle Anwendungen testen können.

Wiz folgert, dass das erste Anzeichen für einen Logikfehler oft der Angriff selbst sei. Die Antwort des Unternehmens lautet, KI mit KI zu bekämpfen: die offene Tür finden, bevor es ein Angreifer tut, und mit KI-Geschwindigkeit untersuchen, wenn doch jemand durchkommt.

Das Unternehmen zitiert einen Gartner-Bericht mit dem Titel The Security Operations Roadmap to 2030 vom Oktober 2026. Darin heißt es, proaktives, kontinuierliches Continuous Threat Exposure Management (CTEM) mit offensiven Tests werde den SOC-Betrieb dominieren.

Red Agent: Warnungen vor dem Angriff

Wiz beschreibt den Red Agent als KI-gestützten Pentester, der validierte, ausnutzbare Risiken findet, damit Teams sie beseitigen können, bevor Angreifer eintreffen. Er arbeitet zusammen mit Wiz ASM und deckt sowohl bekannte Risiken wie CVEs und Fehlkonfigurationen als auch logikbasierte Risiken in individuellen Anwendungen ab, etwa Autorisierungsumgehungen.

Jeder Fund kommt mit Exploit-Nachweis, Schritten zur Reproduktion und Kontext zum Schadensradius aus dem Security Graph. Einen klaren Verantwortlichen und Hinweise zur Behebung liefert der Green Agent. Laut Wiz verlangen solche Funde die Dringlichkeit eines Vorfalls vor dem Angriff und gehören nicht in den Schwachstellen-Backlog.

Roy Weiss, Principal DevSecOps bei Fireblocks, wird im Beitrag mit den Worten zitiert: "All of those insights are really, really helping me to close gaps fast."

Als Beispiel beschreibt Wiz einen Fund aus seiner Reihe Red Agent POV. Der Agent fand einen Weg ohne Authentifizierung in die Produktions-Cloud-API eines Finanzdienstleisters und legte damit aktive Cloud-Zugangsdaten und den vollständigen Quellcode der Anwendung offen. Wiz skizziert ein Fünf-Schritte-Playbook für das SOC:

• Triage: bereits erledigt, da der Exploit nachgewiesen ist und Schritte zur Reproduktion vorliegen.
• Eingrenzung: Threat Hunter prüfen, ob jemand den Pfad bereits genutzt hat, etwa die offengelegten Zugangsdaten aus unerwarteten Quellen.
• Eindämmung: die Zugangsdaten rotieren und den Endpunkt übergangsweise einschränken.
• Übergabe: Der Green Agent ermittelt den Anwendungsverantwortlichen und schickt konkrete Hinweise zur Behebung.
• Verifikation: Sobald der Fix ausgeliefert ist, testet der Red Agent dasselbe Risiko erneut und bestätigt, dass es nicht mehr funktioniert.

Blue Agent: Untersuchung aktiver Bedrohungen

Wiz räumt ein, dass proaktive Alerts die Angriffsfläche verkleinern, kein SOC aber jede Tür sofort schließen kann. Bei aktiven Bedrohungen übernimmt der Blue Agent manuelle Untersuchungsschritte, etwa die Frage, ob eine Aktivität legitim ist, ein Sicherheitstest oder ein Angriff, wie groß der Schadensradius ist und ob Eindämmungsmaßnahmen gewirkt haben.

Laut Wiz bezieht der Agent Kontext aus dem Security Graph, der Code-to-Cloud-Sichtbarkeit und Laufzeitsignalen und untersucht wie ein geschulter Incident Responder. Spezialisierte Sub-Agenten kümmern sich um einzelne Fragen. Der Forensics-Sub-Agent analysiert etwa forensische Beweise, die der Wiz Sensor zum Zeitpunkt der Erkennung erfasst hat, um die Ursache verdächtiger Aktivitäten zu finden und festzustellen, was tatsächlich auf einer Maschine ausgeführt wurde.

Der Blue Agent macht seine Arbeit nachvollziehbar: Er zeigt die gestellten Fragen, die abgerufenen Daten und wie jedes Signal das Urteil beeinflusst hat. Laut Wiz behalten Analysten so die Kontrolle und können dem Ergebnis vertrauen. Mit Wiz Workflows können Teams Urteile in Aktionen umsetzen, etwa Vorfälle eskalieren, Response-Teams benachrichtigen oder Eindämmungs-Playbooks auslösen, abhängig von Urteil und Konfidenzniveau.

Was das für SOC-Teams bedeutet

Der Ansatz verschiebt den Zeitpunkt, zu dem das SOC aktiv wird. Wiz zufolge bleibt die Erkennung wichtig, sollte aber nicht der erste Moment sein, in dem ein Team von einem kritischen, validierten, ausnutzbaren Risiko erfährt. Wer nachgewiesene Angriffspfade mit der Dringlichkeit einer aktiven Bedrohung behandelt, Fixes an die Verantwortlichen übergibt und anschließend verifiziert, müsse laut Unternehmen auf weniger Vorfälle reagieren.

Die Aussagen stammen aus dem eigenen Blogbeitrag von Wiz, Leistungskennzahlen oder Preise nennt die Quelle nicht. Interessierten Teams empfiehlt Wiz, mit den Agenten zu starten, die Blogreihen Red Agent POV und Blue Agent POV zu lesen oder eine Live-Demo zu buchen.