Warum statische CVE-Bewertungen im Zeitalter KI-gestützter Exploits versagen

Das traditionelle Schwachstellenmanagement, das sich vor allem auf statische Zahlen des Common Vulnerability Scoring System (CVSS) stützt, stößt an seine Grenzen, da künstliche Intelligenz das Tempo der Softwareentwicklung und Exploit-Erstellung beschleunigt. Laut einem Bericht von The New Stack machen die schiere Menge moderner Software und die schnelle KI-gestützte Exploit-Generierung die manuelle Triage sowie die Nachverfolgung in Tabellenkalkulationen obsolet.

Die Grenzen statischer Schweregrad-Bewertungen

Ein CVE-Bezeichner (Common Vulnerabilities and Exposures) signalisiert zwar das Bestehen einer Sicherheitslücke, CVSS-Werte messen jedoch eher die technische Schwere als das tatsächliche organisatorische Risiko. Wie The New Stack anmerkt, stehen zwei Unternehmen mit derselben CVE-Nummer vor völlig unterschiedlichen Bedrohungen – je nachdem, ob der betroffene Codepfad ausgeführt wird oder dem Internet ausgesetzt ist. Wer Behebungen ausschließlich nach ungefilterten Schweregraden priorisiert, erzeugt zwar Sicherheitsaktivität, erreicht aber keine nennenswerte Risikoreduzierung.

Verlagerung auf Laufzeitkontext und gehärtete Grundlagen

Um Angriffsflächen effektiv zu verwalten, muss sich der Fokus von Sicherheitsabläufen auf reale Produktionsumgebungen verlagern, statt sich nur auf Repository-Scans vor der Bereitstellung zu verlassen. Der Einsatz gehärteter Basis-Images, die Durchführung von statischen Tests zur Anwendungssicherheit (SAST) sowie das Überprüfen von Konfigurationen gegen Regelwerke wie die Security Technical Implementation Guides (STIGs) können den anfänglichen Schwachstellen-Fußabdruck minimieren, bevor der Code in die Produktion gelangt.

Aufbau einer risikobasierten Behebungs-Pipeline

Moderne Behebungsstrategien erfordern die Einbindung von Threat-Intelligence-Kennzahlen, darunter der KEV-Katalog (Known Exploited Vulnerabilities) der CISA und das Exploit Prediction Scoring System (EPSS). Durch die Kombination von Erreichbarkeitsanalysen mit externer Angriffsfläche, Systemkonfiguration und geschäftlichen Auswirkungen können Entwicklerteams gezielt jene Sicherheitslücken priorisieren, die aktive, reale Risiken darstellen, anstatt zu versuchen, endlos lange CVE-Listen abzuarbeiten.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: AI is speeding up exploits. Vulnerability spreadsheets can’t keep up.