Schwachstellenanalyse
Neun Monate gegen 90 Stunden: Wie KI die Suche nach Sicherheitslücken revolutioniert
Forescout-Studie: KI verkürzt Schwachstellensuche von neun Monaten auf 90 Stunden
Mit allgemein verfügbaren KI-Modellen identifizieren Sicherheitsforscher 99 Schwachstellen in Netzwerksoftware, darunter 66 bislang unbekannte Sicherheitslücken. Besonders betroffen sind grundlegende Komponenten in OT-, IoT- und kritischen Infrastrukturen.
Künstliche Intelligenz verändert die Geschwindigkeit, mit der Sicherheitslücken in komplexer Software entdeckt werden – und verschärft damit den Handlungsdruck auf Unternehmen und Betreiber kritischer Infrastrukturen. Was bislang monatelange manuelle Analysen erforderte, lässt sich mit KI-Unterstützung innerhalb weniger Tage untersuchen. Eine aktuelle Studie von Forescout Research – Vedere Labs zeigt, wie drastisch sich Zeitaufwand und Kosten der Schwachstellenforschung reduzieren lassen und welche neuen Risiken dadurch entstehen.
Die Sicherheitsforscher untersuchten zehn weit verbreitete TCP/IP-Stacks, die als grundlegende Netzwerkkomponenten in zahlreichen vernetzten Geräten eingesetzt werden. Mithilfe einer eigens entwickelten KI-gestützten Analyseplattform identifizierten sie insgesamt 99 Schwachstellen, darunter 66 bislang unbekannte Sicherheitslücken.
Besonders bemerkenswert ist die Geschwindigkeit: Während vergleichbare manuelle Untersuchungen zuvor etwa neun Monate beanspruchten, benötigte der KI-gestützte Ansatz lediglich 90 Stunden. Die Kosten der automatisierten statischen Analyse beliefen sich auf rund 935 US-Dollar.
Damit verändert KI nicht nur die technischen Möglichkeiten der Sicherheitsforschung, sondern auch deren Wirtschaftlichkeit. Denn dieselben Werkzeuge, die Sicherheitsteams bei der frühzeitigen Erkennung von Schwachstellen unterstützen, können grundsätzlich auch von Cyberkriminellen genutzt werden.
KI senkt die Hürden für die Schwachstellenforschung
Im Forschungsbericht „Finding Critical Infrastructure Bugs with Off-the-Shelf AI “ untersuchten die Experten, ob sich mit handelsüblichen KI-Modellen und einem begrenzten Budget Sicherheitslücken sowohl in Open-Source-Software als auch in proprietären Binärdateien aufspüren lassen. Dazu entwickelten sie eine spezialisierte KI-Plattform, die verschiedene Schritte der Schwachstellenanalyse automatisiert. Als Untersuchungsobjekte dienten zehn TCP/IP-Stacks, die in zahlreichen industriellen und vernetzten Systemen verwendet werden. Sieben dieser Stacks waren bereits Gegenstand früherer Untersuchungen von Vedere Labs, drei weitere wurden erstmals analysiert.
Die Ergebnisse verdeutlichen das Potenzial dieser Vorgehensweise. Insgesamt bestätigten die Forscher 99 Schwachstellen. Davon waren 33 bereits bekannt, während 66 erstmals identifiziert wurden.
52 Prozent der neu entdeckten Sicherheitslücken wurden als hoch oder kritisch eingestuft. Von den 66 neuen Schwachstellen meldeten die Forscher 54 an die jeweiligen Hersteller und Maintainer. Für weitere Ergebnisse laufen noch Verfahren zur koordinierten Offenlegung.
Die Untersuchung zeigt außerdem, dass KI selbst in Software, die bereits umfassend manuell analysiert wurde, zusätzliche Schwachstellen erkennen kann.
Von neun Monaten auf 90 Stunden: Die wichtigsten Studienergebnisse
Die Untersuchung liefert mehrere Kennzahlen, die den Einfluss künstlicher Intelligenz auf die Schwachstellenforschung verdeutlichen:
- 90 Stunden statt neun Monate: Die gesamte Untersuchungszeit reduzierte sich erheblich. Rund zehn Stunden entfielen auf die eigenständige KI-Analyse, weitere 80 Stunden auf die Validierung der Ergebnisse.
- 99 bestätigte Schwachstellen: Die Forscher identifizierten 66 bislang unbekannte und 33 bereits dokumentierte Sicherheitslücken in zehn TCP/IP-Stacks.
- Hoher Schweregrad: 52 Prozent der neu gefundenen Schwachstellen wurden als hoch oder kritisch eingestuft.
- Erneute Entdeckung bekannter Schwachstellen: Das KI-System identifizierte 40 Prozent der bereits bekannten Sicherheitslücken erneut. Dies unterstreicht die Leistungsfähigkeit des Ansatzes auch bei zuvor untersuchter Software.
- Geringe Analysekosten: Die automatisierte statische Analyse aller zehn TCP/IP-Stacks kostete insgesamt rund 935 US-Dollar. Die durchschnittlichen Kosten pro Fund lagen bei 2,58 US-Dollar.
- Analyse proprietärer Firmware: Die Untersuchung von Binärdateien war etwa sechsmal teurer und benötigte doppelt so viel Zeit wie die Quellcodeanalyse. Dennoch erwies sich der KI-gestützte Ansatz auch bei Software ohne verfügbaren Quellcode als praktikabel.
- Potenzielle Auswirkungen auf zahlreiche Produkte: Da dieselben TCP/IP-Komponenten in unterschiedlichen Produkten eingesetzt werden, können einzelne Schwachstellen möglicherweise Hunderte Geräte und Systeme verschiedener Hersteller betreffen.
Die Zahlen verdeutlichen, dass KI die Schwachstellenforschung nicht nur beschleunigt, sondern auch für Akteure mit vergleichsweise geringen finanziellen Ressourcen zugänglich macht.
KI ersetzt keine Sicherheitsforscher, verändert aber ihre Arbeitsweise
Trotz der weitreichenden Automatisierung bleibt menschliche Expertise entscheidend. Die Ergebnisse müssen bewertet, validiert und in den jeweiligen technischen Kontext eingeordnet werden. „KI hat die Notwendigkeit erfahrener Schwachstellenforscher nicht beseitigt, aber den Arbeitsaufwand drastisch reduziert“, erklärt Daniel dos Santos, VP of Research bei Forescout.
Mit einem geeigneten KI-gestützten Workflow ließen sich Sicherheitslücken in komplexer Embedded-Software wesentlich schneller und kostengünstiger identifizieren. Diese Entwicklung komme sowohl Sicherheitsexperten als auch potenziellen Angreifern zugute.
Für Unternehmen bedeutet dies, dass sich auch die Anforderungen an das Schwachstellenmanagement verändern. Sicherheitslücken können schneller entdeckt und potenziell früher ausgenutzt werden, während die Prozesse für Risikobewertung, Priorisierung und Fehlerbehebung häufig weiterhin vergleichsweise langsam ablaufen.
Besonders problematisch ist diese Entwicklung in kritischen Infrastrukturen, in denen ältere Systeme teilweise über Jahrzehnte betrieben werden und Sicherheitsupdates nur eingeschränkt oder überhaupt nicht möglich sind.
Kritische Infrastrukturen: Wenn eine Schwachstelle Hunderte Produkte betrifft
TCP/IP-Stacks bilden eine technische Grundlage der Netzwerkkommunikation. Sie sind in zahlreichen Geräten und Systemen integriert, darunter industrielle Steuerungen, IoT-Komponenten, medizinische Geräte, Netzwerktechnik und andere cyber-physische Systeme. Die Besonderheit liegt in ihrer weiten Verbreitung. Hersteller entwickeln diese grundlegenden Softwarekomponenten nicht zwangsläufig selbst, sondern integrieren häufig bestehende Implementierungen in ihre Produkte.
Wird eine Schwachstelle in einer solchen Komponente entdeckt, kann dies Auswirkungen auf zahlreiche unterschiedliche Geräte und Hersteller haben.
Aus einer einzelnen Sicherheitslücke entsteht damit unter Umständen ein weitreichendes Lieferkettenrisiko. Für Betreiber kritischer Infrastrukturen ist diese Abhängigkeit besonders problematisch. Selbst wenn ein Softwareentwickler eine Schwachstelle behebt, steht der entsprechende Patch nicht automatisch für sämtliche betroffenen Geräte zur Verfügung.
Zunächst müssen Firmware- und Produkthersteller die Korrektur übernehmen, testen und in ihre jeweiligen Systeme integrieren. Erst anschließend können Betreiber entsprechende Updates installieren. Dieser Prozess kann sich erheblich verzögern. Hinzu kommt, dass Geräte in industriellen Umgebungen häufig über viele Jahre oder sogar Jahrzehnte im Einsatz bleiben. Für abgekündigte Produkte oder Systeme ohne Herstellersupport werden möglicherweise überhaupt keine Sicherheitsupdates mehr bereitgestellt.
Warum klassisches Patch-Management allein nicht mehr ausreicht
Die zunehmende Geschwindigkeit der Schwachstellensuche trifft auf IT- und OT-Infrastrukturen, deren technische und organisatorische Rahmenbedingungen sich wesentlich langsamer verändern.
Gerade in industriellen Umgebungen lassen sich Systeme nicht ohne Weiteres abschalten, aktualisieren oder austauschen. Produktionsprozesse, Verfügbarkeitsanforderungen und technische Abhängigkeiten erschweren häufig kurzfristige Sicherheitsmaßnahmen.
Barry Mainz, CEO von Forescout, sieht deshalb die Notwendigkeit, den Schwerpunkt stärker auf die tatsächliche Risikominderung zu legen. Die Geschwindigkeit der Schwachstellensuche nehme durch KI zu, während Betreiber weiterhin mit Altsystemen, betrieblichen Anforderungen und schwer zu aktualisierenden Geräten arbeiten müssten. Entscheidend sei daher nicht allein, ob eine Schwachstelle existiert, sondern welche konkreten Auswirkungen sie innerhalb einer bestimmten Infrastruktur haben kann.
Dazu benötigen Unternehmen Transparenz über sämtliche verbundenen Geräte, deren Kommunikationsbeziehungen und die tatsächlich vorhandenen Angriffsflächen. Ein exponiertes System mit einer ausnutzbaren Schwachstelle kann beispielsweise ein wesentlich höheres Risiko darstellen als ein vergleichbares Gerät, das durch Netzwerksegmentierung und zusätzliche Sicherheitskontrollen geschützt ist.
Für Unternehmen und Betreiber kritischer Infrastrukturen wird deshalb entscheidend, wie schnell sie potenziell gefährdete Systeme identifizieren, deren tatsächliche Risiken bewerten und geeignete Schutzmaßnahmen umsetzen können
Fünf Maßnahmen zur Reduzierung KI-getriebener Cyberrisiken
Aus den Untersuchungsergebnissen leitet Forescout konkrete Empfehlungen für Unternehmen und Betreiber kritischer Infrastrukturen ab.
1. Schwachstellen risikobasiert priorisieren
Nicht jede Sicherheitslücke stellt in jeder Umgebung das gleiche Risiko dar. Unternehmen sollten deshalb neben dem technischen Schweregrad insbesondere die Erreichbarkeit eines Geräts, die tatsächliche Ausnutzbarkeit einer Schwachstelle und mögliche betriebliche Auswirkungen berücksichtigen. Auch vorhandene Sicherheitskontrollen und die Bedeutung des jeweiligen Systems für Geschäfts- oder Produktionsprozesse müssen in die Bewertung einfließen.
2. Unnötige Angriffsflächen reduzieren
Nicht benötigte Netzwerkdienste und Administrationsschnittstellen vergrößern die potenzielle Angriffsfläche. Forescout empfiehlt deshalb, Dienste wie FTP, Telnet, IPv6 oder webbasierte Administrationszugänge nach Möglichkeit zu deaktivieren oder deren Nutzung einzuschränken, sofern sie für den Betrieb nicht erforderlich sind. Ziel ist es, potenziellen Angreifern möglichst wenige direkt erreichbare Angriffspunkte zu bieten.
3. Nicht patchbare Geräte konsequent isolieren
Besonders kritisch sind Systeme, für die keine Sicherheitsupdates mehr verfügbar sind. Solche Geräte sollten in streng kontrollierten Netzwerksegmenten betrieben werden. Die Kommunikation mit anderen Systemen ist dabei auf das betrieblich notwendige Minimum zu beschränken. Durch Segmentierung, Isolation und weitere kompensierende Sicherheitsmaßnahmen lässt sich das Risiko reduzieren, auch wenn eine zugrunde liegende Schwachstelle nicht unmittelbar behoben werden kann.
4. Patch-Prozesse für Embedded-Systeme beschleunigen
Die Untersuchung zeigt, dass Sicherheitslücken durch KI wesentlich schneller entdeckt werden können als bisher. Unternehmen sollten deshalb ihre bestehenden Prozesse für die Bewertung, Freigabe und Installation von Sicherheitsupdates überprüfen. Insbesondere bei Embedded-Geräten und industriellen Komponenten müssen organisatorische Abläufe an die veränderte Bedrohungsgeschwindigkeit angepasst werden. Wo Hersteller entsprechende Updates bereitstellen, sollten diese möglichst zeitnah geprüft und unter Berücksichtigung der betrieblichen Anforderungen eingespielt werden.
5. Software-Sicherheit bereits bei der Beschaffung berücksichtigen
Auch die Auswahl neuer Geräte und Systeme gewinnt an Bedeutung. Forescout empfiehlt, von Herstellern verbindliche Angaben zu Supportzeiträumen, Sicherheitsupdates und Verfahren zur Offenlegung von Schwachstellen einzufordern. Darüber hinaus sollten Lieferanten Software Bills of Materials (SBOMs) bereitstellen und kontinuierliche Sicherheitstests nachweisen können. Solche Informationen helfen Unternehmen, potenzielle Abhängigkeiten und Risiken innerhalb ihrer Software-Lieferketten frühzeitig zu erkennen.
KI verändert auch die Anforderungen an Softwarehersteller
Die Ergebnisse richten sich nicht ausschließlich an Betreiber und Sicherheitsteams. Auch Softwareentwickler und Hersteller vernetzter Produkte müssen sich auf veränderte Rahmenbedingungen einstellen. Forescout empfiehlt, KI-gestützte Sicherheitsanalysen stärker in Entwicklungs-, Test- und Release-Prozesse zu integrieren.
Gleichzeitig müssen Hersteller damit rechnen, dass die Zahl KI-generierter Schwachstellenmeldungen künftig deutlich zunimmt. Dies stellt zusätzliche Anforderungen an die Validierung gemeldeter Sicherheitslücken, die Priorisierung von Korrekturen und die koordinierte Kommunikation mit betroffenen Kunden und Partnern. Insbesondere bei grundlegenden Softwarekomponenten, die von zahlreichen Herstellern weiterverwendet werden, gewinnt ein funktionierendes Schwachstellenmanagement entlang der gesamten Lieferkette an Bedeutung.
Fazit: KI beschleunigt die Schwachstellensuche – die Risikobewertung muss folgen
Die Forescout-Untersuchung verdeutlicht einen grundlegenden Wandel in der Cybersecurity: Sicherheitslücken lassen sich mithilfe allgemein verfügbarer KI-Technologien innerhalb kürzester Zeit und zu vergleichsweise geringen Kosten identifizieren.
Die Entdeckung von 99 Schwachstellen in zehn TCP/IP-Stacks innerhalb von 90 Stunden zeigt, welches Potenzial KI-gestützte Verfahren bereits heute besitzen. Gleichzeitig entsteht ein neues Ungleichgewicht zwischen der Geschwindigkeit der Schwachstellensuche und den oftmals langwierigen Prozessen zur Risikobewertung und Fehlerbehebung. Vollständige Asset-Transparenz, kontinuierliches Exposure Management und wirksame Netzwerksegmentierung werden damit zu zentralen Voraussetzungen für den Schutz komplexer IT-, OT- und IoT-Umgebungen.
Häufig gestellte Fragen (FAQ)
Was haben die Forscher von Forescout untersucht?
Forescout Research – Vedere Labs untersuchte, ob sich mit allgemein verfügbaren KI-Modellen und einem begrenzten Budget Sicherheitslücken in Open-Source-Software sowie proprietären Binärdateien entdecken lassen. Dafür entwickelte das Team eine KI-gestützte Analyseplattform und untersuchte zehn weit verbreitete TCP/IP-Stacks.
Was sind TCP/IP-Stacks?
TCP/IP-Stacks sind grundlegende Softwarekomponenten, die die Kommunikation zwischen Geräten über Netzwerke ermöglichen. Sie werden unter anderem in industriellen Steuerungen, IoT-Geräten, medizinischen Systemen und Netzwerkkomponenten eingesetzt.
Wie viele Schwachstellen wurden entdeckt?
Die Forscher bestätigten insgesamt 99 Schwachstellen. Davon waren 33 bereits bekannt und 66 bislang unbekannt. 52 Prozent der neuen Sicherheitslücken wurden als hoch oder kritisch eingestuft. Insgesamt 54 neue Schwachstellen wurden an Hersteller und Maintainer gemeldet.
Wie stark beschleunigt KI die Schwachstellenanalyse?
Im untersuchten Szenario reduzierte sich der Zeitaufwand von etwa neun Monaten manueller Analyse auf insgesamt 90 Stunden. Davon entfielen rund zehn Stunden auf die eigenständige KI-Analyse und weitere 80 Stunden auf die Validierung der Ergebnisse.
Warum sind kritische Infrastrukturen besonders betroffen?
TCP/IP-Stacks werden in zahlreichen vernetzten Geräten und industriellen Systemen eingesetzt. Eine Schwachstelle in einer solchen Komponente kann daher viele unterschiedliche Produkte betreffen. Besonders problematisch sind ältere Geräte, für die keine Sicherheitsupdates mehr verfügbar sind oder die aus betrieblichen Gründen nicht kurzfristig aktualisiert werden können.
Wie können Unternehmen ihre Risiken reduzieren?
Wichtige Maßnahmen sind eine vollständige Übersicht über vernetzte Geräte, kontinuierliche Schwachstellenanalysen, risikobasierte Priorisierung, Netzwerksegmentierung und die Isolation nicht patchbarer Systeme. Darüber hinaus sollten Unternehmen Sicherheitsanforderungen bereits bei der Beschaffung neuer Geräte berücksichtigen und ihre Patch-Prozesse beschleunigen.
