„Alles, was gehackt werden kann, wird auch gehackt werden“

Elon Musk warnte kürzlich alle seinen Beschäftigten bei Tesla per E-Mail vor KI-gestützten Hacking-Angriffen. Dabei zitierte er einen Artikel der Cloud-Plattform Vercel. Dessen Titel besagt, dass alles, was gehackt werden kann, auch gehackt werden wird.

Auch wenn die Warnung apokalyptisch klingt – wir stimmen Vercel hier zu. Warum? Bisher galt häufig die Logik, dass es ausreicht, sich auf die sogenannten Low-Hanging Fruits zu konzentrieren. Unternehmen gingen davon aus, dass Hacker diejenigen Schwachstellen häufig ignorieren, die nur unter großem Aufwand ausgenutzt werden können, da dies auch mit hohen Kosten einherging. Aus diesem Grund wurden vornehmlich die Sicherheitslücken geschlossen, die schnell und einfach zu beheben sind.

Dies ist nun nicht mehr der Fall. Während die Kosten für KI-gestützte Überprüfungen bezüglich IT-Sicherheitslücken für bösartige Hacker immer weiter sinken, trifft dies auf Penetrationstester nicht im selben Maße zu. Dies liegt daran, dass ethische Hacker selbstverständlich darauf achten, die betreffenden IT-Systeme während ihrer Tests nicht zu beschädigen. Außerdem müssen die Verteidiger im Gegensatz zu den Angreifern auch False Positives berücksichtigen. Dabei handelt es sich um Funde, die von Hacking-Tools fälschlicherweise als Bedrohung klassifiziert werden und dadurch weitere Ressourcen in Anspruch nehmen. Fazit: Für die Angreiferseite ist das Finden von Schwachstellen mittlerweile sehr kostengünstig.

Zudem verändert sich die Art der Scans. Klassische Schwachstellenscans versenden viele einzelne Anfragen und können dadurch von Sicherheitssystemen auch leichter erkannt werden. AI-basierte Scans können dagegen effizienter und gezielter vorgehen, womit auch viele Angriffsdetektionen ins Leere laufen.

Das heißt, selbst ein Unternehmen, das seit Jahren regelmäßige Pentests, die von menschlichen Testern mit den jeweils besten Tools durchgeführt werden, bei spezialisierteren Pentest-Firmen beauftragt, kann noch vor Weihnachten von Angriffen offensiver AI-Agenten überrollt werden.

Es muss also eine neue Logik geben: Veränderungen in IT-Systemen erfordern ein kontinuierliches Monitoring. Außerdem müssen regelmäßige Penetrationstests die maximale Testtiefe ausschöpfen. Es reicht nicht mehr aus, Funde zu bearbeiten und zyklisch zu verbessern. Stattdessen muss alles gefunden und sinnvoll priorisiert werden. Auch kleine Unternehmen müssen Pentests in die Entwicklungs- und Release-Prozesse einbetten. Werden Änderungen an Software, Webseiten und Apps nicht stetig im Auftrag des Unternehmens überprüft, tun es die Angreifer.

Um das Feld nicht der Angreiferseite und deren AI-Tools zu überlassen, hat die SySS Erebus Strike entwickelt: ein AI-Pentest-Agent, der sich ebenfalls die Vorteile von AI zunutze macht und dadurch Testumfang und -tiefe deutlich erweitern kann. Bei AI-gestützten Penetrationstest wird der Agent mit menschlicher Expertise kombiniert und schöpft somit die Vorteile sowohl künstlicher als auch menschlicher Intelligenz voll aus.

Lesen Sie mehr über Erebus Strike und fragen Sie gezielt nach einem Penetrationstest mit Erebus Strike unter anfrage@syss.de.