Auf den Punkt: AI-gestützte Angriffe zwingen Organisationen dazu, Vulnerability Management grundlegend umzudenken: Nicht mehr einzelne CVE-Schwachstellen, sondern vollständige Angriffspfade müssen risikobasiert priorisiert werden.
CISAs neue Richtlinie BOD 26-04 führt risikobasierte Patch-Fristen statt einheitlicher Deadlines ein. Künstliche Intelligenz macht diesen Ansatz zur Notwendigkeit, denn Angreifer reduzieren die Zeit vom Initialzugriff zur lateralen Bewegung auf durchschnittlich 29 Minuten.
CISAs Binding Operational Directive 26-04 stellt einen Paradigmenwechsel in der Schwachstellenverwaltung dar. Statt alle kritischen Schwachstellen nach einem einheitlichen Zeitplan zu patchen, priorisiert die Richtlinie die Behebung nach Risiko: Behebungsfristen reichen von drei Tagen für die höchsten Risiken bis zur Verschiebung minimaler Risiken. Damit verabschiedet sich die Bundesverwaltung vom reinen Severity-Ansatz, wonach CVSS-Scores allein bestimmen würden, ob ein Patch dringend ist.
Der Ansatz ist sachgerecht: CVSS-Bewertungen sagen wenig darüber aus, ob eine Schwachstelle von außen erreichbar ist, aktiv ausgebeutet wird, automatisierbar ist oder dem Angreifer Kontrolle über das Asset verschafft. Doch AI comprimiert die gesamte Angriffskette. CrowdStrike berichtet, dass die durchschnittliche Zeit von der Kompromittierung zur lateralen Bewegung (eCrime Breakout) auf 29 Minuten gesunken ist; der schnellste beobachtete Breakout dauerte 27 Sekunden. Mandiant dokumentierte, dass Angreifer Zugang zwischen Operatoren im Median innerhalb von 22 Sekunden übergeben. Die drei Tage der BOD wirken vor diesem Hintergrund nicht aggressiv, sondern luxuriös.
AI selbst wird zur Angriffsfläche. Organisationen setzen rasant Copilots, Browser-Agenten, autonome Workflows und andere AI-Systeme ein, die Prompts, Plugins, Konnektoren und Integrationen mitbringen, welche Schutz benötigen. Angreifer nutzen AI zugleich zur Automatisierung ihrer Operationen: Reconnaissance, Vulnerability Research, Exploit-Generierung, Phishing, Credential Harvesting und sogar Teile der lateralen Bewegung lassen sich beschleunigen oder orchestrieren. Forschung zeigt autonome Agenten, die viel der operativen Arbeit in ausgefeilten Cyberattacken tragen, während Menschen die strategischen Ziele überwachen. Kampagnen werden leichter skalierbar, Ziele lassen sich parallel verfolgen, und Angreifer können viel mehr Pfade ins Netzwerk testen, bevor Defender reagieren.
Der klassische Ansatz, CVE einzeln zu bewerten, reicht nicht aus. Moderne Angriffe folgen Pfade, nicht einzelnen Findings. Sie kombinieren Schwachstellen mit gestohlenen Identitäten, Cloud-Fehlkonfigurationen, exponierten APIs, SaaS-Schwächen und zunehmend AI-Systemen zu Angriffsrouten auf kritische Assets. Vulnerability-Management-Teams, Identity-Teams, Cloud-Security und Application-Security arbeiten isoliert – aber Angreifer kennen diese Grenzen nicht. Sie nutzen Lücken zwischen diesen Verantwortlichkeiten als Sprungbretter. BOD 26-04 ist ein Schritt vorwärts in die richtige Richtung, doch AI erfordert mehr: Nicht nur die Beschleunigung bestehender Prozesse, sondern deren grundlegende Überarbeitung – mit dem Ziel, Exposures ganzheitlich und kontextbezogen zu managen, nicht Schwachstellen isoliert zu patchen.
Quelle: www.csoonline.com · Erschienen 29. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.