Thales warnt schon seit langem vor diesem Wandel: KI senkt die Hürden für das Aufspüren und Ausnutzen von Software-Schwachstellen drastisch und beschleunigt diesen Prozess in einem Ausmaß, mit dem Menschen einfach nicht mithalten können. Die Konsequenz ist klar: Unternehmen müssen nun davon ausgehen, dass ihre Software und Anwendungen kontinuierlich von feindlicher KI analysiert, zerlegt und Stresstests unterzogen wird.
Das erfordert ein grundlegendes Umdenken bei der Softwaresicherheit. Es ist nicht nur notwendig, die Behebung von Schwachstellen nach ihrer Entdeckung zu systematisieren, sondern auch, dass Entwickler es Angreifern bereits ab der Entwurfsphase erschweren, den Code zu verstehen und auszunutzen. Das bedeutet, die Anwendung selbst zu schützen. Möglichkeiten sind die Verschlüsselung von Code und sensiblen Daten, die Verschleierung der Logik und die Einbettung von Laufzeit-Abwehrmechanismen. Diese erkennen aktiv Debugging-, Tracing- oder Manipulationsversuche und reagieren in Echtzeit. Beispiele sind eine Verhinderung oder ein nachträgliches rückgängig machen des Zugriffs.
Entscheidend ist, dass der Schutz auch widerstandsfähig, die Integrität der Anwendung gewährleistet und die offensichtlichen Schwachstellen beseitigt sind, die Angreifer ausnutzen können, um Code zu trennen und zu analysieren. Das Ziel ist, Angreifern – und zunehmend auch ihren KI-Tools – die Sichtbarkeit zu verweigern, auf die sie angewiesen sind.
Zur Umsetzung bedarf es eines industrialisierten Cybersicherheitsansatzes, um KI-gestützte SOCs, KI-gesteuertes DevSecOps, automatisierte Patching- und Reaktionsmaßnahmen (SOAR), erweiterte Tests und den Schutz von Altsystemen in einem vertrauenswürdigen Rahmen zu vereinen. Sowohl die Empfehlungen der Cloud Security Alliance als auch der bevorstehende Cyber-Resilience-Act (CRA) betonen die Integration KI-basierter Schwachstellenanalysen über den gesamten Entwicklungslebenszyklus hinweg, um Ausnutzung von vornherein zu verhindern.
Mythos-Preview wird vielleicht nie vollständig öffentlich zugänglich werden, aber es ist nur eine Frage der Zeit, bis Modelle mit vergleichbaren Hacking-Fähigkeiten von Wettbewerbern auf den Markt kommen. Unternehmen müssen jetzt handeln, um ihre Anwendungen gegen KI-gesteuerte Analysen abzusichern, oder sie riskieren, mit maschineller Geschwindigkeit bloßgestellt zu werden. Die Diskussion muss schnell von der Sensibilisierung zur Umsetzung übergehen. Angesichts der Verpflichtungen im Rahmen des CRA kann das Versäumnis, Softwareanwendungen vor Schwachstellen zu schützen, zu Reputationsschäden, möglichen Strafen, Produktrückrufen und dem Verlust des Marktzugangs führen.
