Cybersecurity als Token-Schlacht – Ist IT-Sicherheit bald nur noch eine Budget-Frage?
KI-Modelle werden immer besser darin, Sicherheitslücken aufzudecken. Davon können Angreifer und Verteidiger gleichermaßen profitieren. Gewinnen künftig diejenigen, die schlichtweg mehr Geld für KI-Rechenkapazität ausgeben?
Klassischerweise hängt der Erfolg oder Misserfolg von Cyberangriffen immer auch ein Stück weit von menschlichen Fähigkeiten ab – sei es das kreative Ausnutzen einer Sicherheitslücke durch die Angreifer oder das effektive Absichern eines Systems durch die Verteidiger.
In der Ära von zunehmend leistungsfähiger werdender künstlicher Intelligenz könnte die menschliche Komponente jedoch an Bedeutung verlieren. Reicht es künftig, einfach mehr KI-Rechenpower – sprich: „Token“ – einzusetzen als die Gegenseite? Wird Cybersecurity – wie der IT-Experte Drew Breunig es beschreibt – zu einer Art „Proof of Work“, wie wir es aus der Welt von Kryptowährungen wie Bitcoin kennen?
Mehr Token = mehr aufgedeckte Sicherheitslücken?
Die These, dass Cybersecurity zu einer Token-Schlacht wird, hängt eng mit der Evolution aktueller KI-Modelle zusammen. Als Anthropic sein Modell Claude Mythos zunächst nicht der Öffentlichkeit zugänglich machte, vermuteten manche Beobachter einen Marketing-Coup, um Begehrlichkeiten zu wecken. Mittlerweile zeigen aber erste unabhängige Analysen, dass die Cyber-Fähigkeiten von Mythos tatsächlich weitreichend sind.
Eine Analyse des britischen AI Security Institute (AISI) simulierte den Angriff auf ein Unternehmensnetzwerk mittels KI. Mythos war dabei als einziges Modell komplett erfolgreich – und zwar in 3 von 10 Versuchen. Die Forscher gehen zudem davon aus, dass das Modell mehr Sicherheitslücken finden kann, wenn mehr Token eingesetzt werden. Dies ist der eigentliche Game Changer: Das Finden von Sicherheitslücken wird so zu einem reinen KI-gestützten Suchproblem. Angreifer müssen keine genialen Hacker sein. Sie müssen nur genug Budget aufwenden, um eine KI so lange auf deine Systeme anzusetzen, bis sie eine Lücke findet.
Angriffs- vs. Verteidigungsbudgets
Wenn es kaum eine Sättigungsgrenze gibt und größere Token-Budgets mehr Sicherheitslücken aufdecken, stellt sich die Frage: In welchem Verhältnis stehen die Budgets der Angreifer zu denen der Verteidiger? In der Simulation des AISI wurden pro Versuch beispielsweise 100 Millionen Token im Wert von 12.500 Dollar eingesetzt – für 10 Versuche also 125.000 Dollar. Cyberbanden, die teils Millionenbeträge durch erbeutete Lösegelder einstreichen, verfügen über beträchtliche finanzielle Mittel. Sie könnten KI-Modelle gezielt darauf ansetzen, Zero-Day-Schwachstellen in weit verbreiteten Systemen aufzuspüren.
Für die Seite der Verteidigung lässt sich ähnlich argumentieren. Um ein bestehendes oder neues System zu schützen, müsste KI gezielt zur Systemhärtung eingesetzt werden. Software-Anbieter könnten so lange spezialisierte Sicherheits-KI gegen ihren eigenen Code fahren, bis ein festgelegtes Token-Budget erschöpft ist. Digitale Sicherheit unterliegt dann der simplen Formel, dass man einfach mehr Token für die Entdeckung von Exploits ausgeben muss als die Angreifer.
Open Source-Lösungen als Ausweg?
Für die Zukunft der Unternehmens-IT haben diese neuen Sicherheitsfragen eine enorme Bedeutung. Einerseits sinken durch Ansätze wie „Vibe Coding“ gerade die Kosten für Individualsoftware. Für viele Unternehmen eröffnet sich dadurch die Möglichkeit, ihr Geschäft mit komplett maßgeschneiderten, eigenen Softwarelösungen voranzubringen. Diesen Code jedoch sicher zu machen, wird vermutlich sehr teuer.
Für Open-Source-Software könnte es hingegen weiteren Schub geben. Denn wenn tausende Unternehmen dieselbe Open-Source-Bibliothek nutzen, teilen sie sich auch die Kosten für die KI-Systemhärtung. Die Community wirft ihre Token-Budgets zusammen. Ein individueller Angreifer hat kaum eine Chance, gegen dieses gebündelte Verteidigungsbudget anzukommen. Aus Security-Perspektive sind deshalb bewährte Standard- und Open-Source-Lösungen klar zu bevorzugen. Eigenkreationen bringen Sicherheitsrisiken mit, die sorgfältig abgewogen werden müssen.
Für die Seite der Verteidigung lässt sich ähnlich argumentieren. Um ein bestehendes oder neues System zu schützen, müsste KI gezielt zur Systemhärtung eingesetzt werden. Software-Anbieter könnten so lange spezialisierte Sicherheits-KI gegen ihren eigenen Code fahren, bis ein festgelegtes Token-Budget erschöpft ist. Digitale Sicherheit unterliegt dann der simplen Formel, dass man einfach mehr Token für die Entdeckung von Exploits ausgeben muss als die Angreifer.
Fazit
Ob sich die These bestätigt, dass KI-Modelle mit mehr Token-Einsatz auch sukzessive mehr Sicherheitslücken finden, wird sich zeigen. So oder so bricht für die Cybersecurity aktuell eine neue Ära an; das Cyber-Wettrüsten geht weiter. Wenn KI-Modelle wie Mythos selbst in Betriebssystemen Schwachstellen aufdecken, die 27 Jahre lang unentdeckt geblieben sind, schrillen nicht umsonst die Alarmglocken.
Unternehmen sollten die Entwicklung im Blick behalten und insbesondere die Risiken von „Vibe Coding“-Lösungen berücksichtigen. Code mag dadurch billiger werden, aber Sicherheit wird drastisch teurer. Eine wichtige grundsätzliche Strategie besteht darin, die Angriffsfläche zu reduzieren: „Keep it simple“. Wer seine Systeme vereinfacht und unnötige Tools und Systeme über Bord wirft, ist in der besseren Ausgangssituation für eine resiliente IT-Landschaft.
Wir beantworten gerne alle Fragen.
Kontaktiere uns über das untenstehende Formular oder auch unter +43 5 9555
und office@techbold.at. Unsere vollständigen Adressdaten findest du hier
Evelyn Heinrich
Head of Account Management
oder ein Account Manager aus ihrem Team melden sich umgehend.
