Agentic Remediation
Mondoo erweitert Exposure Management um agentenbasierte Schwachstellenbehebung
Agentic Remediation: Vom Exposure Management zur automatisierten Risikoreduzierung
Sicherheitslücken zu erkennen, reicht längst nicht mehr aus. Angesichts wachsender Angriffsflächen, KI-generiertem Code und Zehntausenden neuen Schwachstellen pro Jahr geraten Security-Teams zunehmend unter Druck, Risiken schneller zu beseitigen. Mit der Einführung von Agentic Remediation will Mondoo den Schritt vom klassischen Exposure Management zur automatisierten Schwachstellenbehebung vollziehen – einschließlich eigenständiger Fixes, kontrollierter Bereitstellung und anschließender Überprüfung.
Der Cybersecurity-Anbieter Mondoo erweitert seine KI-native Exposure-Management-Plattform um neue Funktionen zur agentenbasierten Behebung von Sicherheitsrisiken. Dazu gehören die Inspektion von Quellcode, die Analyse externer Angriffsflächen, zusätzliche Maßnahmen zur Umsetzung von CIS Benchmarks sowie die automatisierte Bereitstellung von Sicherheitskorrekturen über Microsoft Intune und CrowdStrike Falcon.
Die Plattform soll damit nicht nur Schwachstellen und Fehlkonfigurationen in Code, Cloud-Infrastrukturen, Endpunkten und Schatten-KI identifizieren, sondern auch geeignete Korrekturmaßnahmen entwickeln, über vorhandene Werkzeuge ausrollen und deren Wirksamkeit überprüfen. Wie weit diese Automatisierung reicht, können Unternehmen anhand eigener Richtlinien festlegen.
„Sicherheitsteams erwarten von KI mehr als ein weiteres Dashboard voller Findings. Sie wollen, dass die KI ihnen die Arbeit abnimmt, und zwar auf intelligente Weise“, erklärt Soo Choi, CEO von Mondoo . Während viele Sicherheitslösungen lediglich auf notwendige Maßnahmen hinweisen, verfolgt Mondoo nach eigenen Angaben einen weitergehenden Ansatz: Die Plattform erkennt Risiken, erstellt passende Fixes, setzt diese um und überprüft anschließend das Ergebnis. Die Entscheidung darüber, welche Aufgaben autonom ausgeführt werden dürfen und wann eine menschliche Freigabe erforderlich ist, bleibt bei den Sicherheitsteams.
Die Lücke zwischen Schwachstellenerkennung und Behebung schließen
Die Herausforderung für Unternehmen liegt zunehmend weniger darin, Sicherheitslücken überhaupt zu entdecken. Schwieriger wird es, aus der stetig wachsenden Zahl von Findings die relevanten Risiken herauszufiltern und diese rechtzeitig zu beseitigen.
Das Forum of Incident Response and Security Teams (FIRST) prognostiziert für 2026 rund 66.000 neue CVEs. Damit müssten sich Unternehmen rechnerisch auf mehr als 160 neu erfasste Schwachstellen pro Tag einstellen. Gleichzeitig verändern KI-Agenten, automatisierte Entwicklungsprozesse und KI-generierter Code die IT-Landschaften in immer kürzeren Abständen.
Hinzu kommen unbekannte oder unzureichend dokumentierte Systeme, Cloud-Ressourcen und Anwendungen, die zusätzliche Angriffsmöglichkeiten eröffnen. Gerade solche Assets können von Angreifern ausgenutzt werden, bevor sie überhaupt in den regulären Sicherheitsprozessen eines Unternehmens auftauchen.
Mondoo will diese Lücke zwischen Erkennung und Behebung durch einen durchgängigen Workflow schließen. Sicherheitsrisiken werden zunächst identifiziert und bewertet. Anschließend erstellt die Plattform geeignete Korrekturmaßnahmen und setzt diese abhängig vom festgelegten Automatisierungsgrad um. Eine erneute Überprüfung soll bestätigen, dass die jeweilige Schwachstelle oder Fehlkonfiguration tatsächlich behoben wurde.
Automatisierte Fixes für Endpunkte und Entwicklerumgebungen
Ein wesentlicher Bestandteil der Erweiterung ist die Integration in bereits etablierte Verwaltungs- und Sicherheitswerkzeuge. Über Microsoft Intune und CrowdStrike Falcon lassen sich Korrekturmaßnahmen direkt auf verwalteten Endpunkten bereitstellen.
Unternehmen sollen dafür weder zusätzliche Agenten installieren noch neue Workflows aufbauen müssen. Stattdessen nutzt Mondoo die vorhandene Infrastruktur, um Sicherheitskorrekturen innerhalb bestehender IT- und Security-Prozesse umzusetzen.
Auch die Softwareentwicklung wird stärker eingebunden. Die neue Code-Inspektion untersucht Quellcode auf Sicherheitsmängel, verwundbare Abhängigkeiten und versehentlich offengelegte Zugangsdaten oder andere Secrets.
Dabei betrachtet Mondoo die Ergebnisse nicht isoliert, sondern setzt sie mit bekannten Risiken aus Infrastruktur und Cloud-Umgebungen in Beziehung. Entwickler erhalten je nach Problemstellung deterministische oder KI-gestützte Korrekturvorschläge sowie konkrete Handlungsempfehlungen.
Die Bereitstellung erfolgt über GitHub-Pull-Requests, direkt in Entwicklungsumgebungen oder über Coding-Agenten. Nach der Umsetzung untersucht Mondoo den überarbeiteten Code erneut innerhalb der Kundenumgebung, um zu überprüfen, ob das ursprüngliche Sicherheitsrisiko beseitigt wurde.
Externe Angriffsflächen kontinuierlich überwachen
Mit der erweiterten Analyse externer Angriffsflächen adressiert Mondoo ein weiteres Problem moderner IT-Sicherheit: Unternehmen kennen häufig nicht alle Systeme und Dienste, die aus dem Internet erreichbar sind.
Die Plattform identifiziert öffentlich zugängliche Hosts und überprüft diese unter anderem auf Schwachstellen und Fehlkonfigurationen bei TLS, DNS, HTTP sowie in der E-Mail-Sicherheit.
Neben den erkannten Risiken stellt Mondoo Empfehlungen zur Behebung bereit. Eine kontinuierliche Überwachung soll anschließend feststellen, ob die Korrekturen weiterhin wirksam sind oder erneut sicherheitsrelevante Abweichungen auftreten.
Damit soll Exposure Management über die punktuelle Bestandsaufnahme hinausgehen und zu einem fortlaufenden Prozess werden, bei dem Erkennung, Behebung und Verifizierung miteinander verbunden sind.
CIS Benchmarks: Mehr Automatisierung bei der Systemhärtung
Auch bei der Umsetzung etablierter Sicherheitsstandards erweitert Mondoo seine Funktionen. Das Unternehmen baut die automatisierten Korrekturmöglichkeiten für unterstützte Prüfungen nach den CIS Benchmarks aus.
Dabei sollen sich geeignete Maßnahmen auch auf Systemen im laufenden Produktivbetrieb anwenden lassen. Wo dies technisch möglich ist, testet Mondoo die jeweilige Behebung zunächst auf einem realen System und überprüft anschließend durch einen erneuten Scan, ob die geforderte Sicherheitskontrolle erfüllt wird. Für Unternehmen könnte dies insbesondere bei der kontinuierlichen Systemhärtung relevant werden. Denn Sicherheitskonfigurationen verändern sich im laufenden Betrieb häufig durch Updates, administrative Eingriffe oder neue Anwendungen.
Hier setzt Mondoo zusätzlich auf Policy as Code. Weicht eine Systemkonfiguration von den definierten Sicherheitsvorgaben ab, kann die Plattform entsprechende Korrekturen erneut durchführen und so die Einhaltung der festgelegten Standards unterstützen.
Autonome KI mit menschlicher Kontrolle
Ein zentraler Aspekt der Agentic Remediation ist die Frage, wie viel Entscheidungsfreiheit Unternehmen ihren KI-Agenten einräumen sollten.
Mondoo verfolgt dafür einen richtlinienbasierten Ansatz. Security-Teams können anhand des jeweiligen Exposure-Risikos, des betroffenen Asset-Typs und der Kritikalität eines Systems festlegen, welche Maßnahmen automatisch ausgeführt werden dürfen.
Routinekorrekturen lassen sich damit ohne manuelle Eingriffe umsetzen. Bei sensiblen Systemen oder potenziell weitreichenden Änderungen kann dagegen eine ausdrückliche Freigabe erforderlich sein.
Dieses Human-in-the-Loop-Prinzip soll die Vorteile autonomer Sicherheitsprozesse mit der notwendigen Kontrolle über kritische IT-Umgebungen verbinden.
Gleichzeitig dokumentiert Mondoo die erkannten Risiken und durchgeführten Korrekturmaßnahmen. Die entsprechenden Nachweise können Unternehmen für interne Kontrollen, Compliance-Anforderungen und Audits nutzen. Über das Model Context Protocol (MCP) lassen sich außerdem kundeneigene KI-Agenten mit der Plattform verbinden. Sie können Sicherheitsrisiken abfragen, Nachweise abrufen und Korrekturmaßnahmen innerhalb vorhandener Arbeitsabläufe auslösen.
Vom Exposure Management zur automatisierten Risikoreduzierung
Mit der Erweiterung positioniert Mondoo Agentic Remediation als nächsten Entwicklungsschritt im Exposure Management. Statt Sicherheitsverantwortlichen immer neue Listen mit Schwachstellen und Fehlkonfigurationen bereitzustellen, soll die Plattform einen größeren Teil der operativen Behebung übernehmen.
Für Unternehmen ist dieser Ansatz vor allem dann interessant, wenn die Zahl erkannter Risiken schneller wächst als die verfügbaren Ressourcen für deren Beseitigung. Automatisierung könnte hier dazu beitragen, die Zeit zwischen Entdeckung und Behebung zu verkürzen und Security-Teams von wiederkehrenden Aufgaben zu entlasten.
Entscheidend bleibt allerdings, wie zuverlässig automatisierte Korrekturen in komplexen Produktivumgebungen funktionieren und wie sich unerwünschte Auswirkungen vermeiden lassen. Gerade bei geschäftskritischen Systemen sind nachvollziehbare Entscheidungen, kontrollierte Freigaben und eine überprüfbare Umsetzung unverzichtbar.
Die neuen Funktionen stehen nach Unternehmensangaben ab sofort sowohl über die Mondoo-Plattform als auch als Managed Service zur Verfügung. Alternativ zum eigenständigen Betrieb können Kunden den sogenannten Agentic Managed Vulnerability Service nutzen, bei dem Mondoo die Leistungen nach dem Prinzip „Service as Software“ bereitstellt.
Auf der it-sa 2026 vom 27. bis 29. Oktober in Nürnberg stellt Mondoo die Erweiterungen in Halle 7, Stand 7-542 vor.
