Drei Fragen und Antworten: Wie KI wirklich bei der Schwachstellensuche hilft

Die Triage-Krise in der Softwareentwicklung

Der Einsatz von Künstlicher Intelligenz (KI) als automatisierter Spürhund für Sicherheitslücken in Quellcode klingt theoretisch nach einem idealen Werkzeug für Pentests und Codereviews. In der Praxis führt dieser Ansatz jedoch zunehmend zu einer Überlastung von Security-Teams und Open-Source-Projekten. Anstatt die Sicherheit zu erhöhen, erzeugen KI-gestützte Tools eine Flut an Meldungen, die von den Empfängern kaum noch bewältigt werden kann.

Prominente Beispiele wie die Suspendierung von Bug-Bounty-Programmen bei curl, HackerOne oder Node.js sowie die öffentliche Kritik von Linus Torvalds an der Unüberschaubarkeit der Linux-Kernel-Security-Liste unterstreichen das Problem. Die Kernursache liegt darin, dass die Generierung von Schwachstellenmeldungen durch KI mittlerweile sehr kostengünstig ist, während die nachgelagerte Verifizierung – also die Prüfung, ob eine Lücke tatsächlich existiert, erreichbar ist und durch einen Patch behoben werden kann – den eigentlichen Flaschenhals darstellt. Der Anteil echter, kritischer Schwachstellen in diesen automatisierten Berichten bleibt oft gering, während das bloße Volumen an Meldungen massiv zunimmt.

Warum der Workflow über das Modell entscheidet

Ein häufiger Irrtum bei der Einführung von KI-gestützten Audits ist die Annahme, dass die Wahl eines besonders leistungsfähigen Modells der entscheidende Erfolgsfaktor sei. Laut Stephan Zeisberg, Head of Research bei Security Research Labs (SRLabs), liegt der Hebel jedoch primär im Workflow. Ein Modell, das in Benchmarks hervorragend abschneidet, produziert ohne eine disziplinierte Pipeline lediglich mehr Rauschen.

Als positives Beispiel für eine erfolgreiche Implementierung dient Mozilla mit Firefox. Durch eine Infrastruktur, die auf reproduzierbaren Testfällen, automatisierter Deduplizierung und einem integrierten Triage-Prozess basiert, konnte das Team in einem einzigen Release 271 Sicherheitsbugs schließen. Entscheidend ist hierbei die agentische Pipeline: Jedes von der KI identifizierte Finding muss zwingend mit einem reproduzierbaren Testfall belegt werden. Kann die KI diesen Nachweis nicht erbringen, wird die Meldung aussortiert, bevor sie einen menschlichen Reviewer erreicht.

Strategien für den Einstieg in KI-Audits

Teams, die noch nicht über eine derart ausgefeilte Infrastruktur verfügen, sollten den Einsatz von KI-Tools nicht überstürzt und flächendeckend vorantreiben. Ein unkontrollierter Einsatz führt zwangsläufig in die Triage-Tretmühle. Stattdessen empfiehlt sich ein disziplinierter, dreistufiger Prozess:

* **Vorbereitung:** KI wird vor dem eigentlichen Audit eingesetzt, um die Codebasis zu kartieren und relevante Module sowie Eintrittspunkte zu identifizieren.

* **Begleitung:** Während des Audits dient die KI als Recherche- und Navigationshilfe.

* **Nachbereitung:** Nach dem manuellen Review fungiert die KI als zweite Sicht, um gezielt bekannte Muster abzugleichen.

Die Reihenfolge ist hierbei von zentraler Bedeutung, da die KI den Ersteindruck der Reviewer beeinflussen kann. Wird sie als letzte Instanz genutzt, findet sie eher Details, die dem menschlichen Auge entgangen sind.

Regeln für die Praxis

Um die Effektivität zu steigern und die Belastung durch Falsch-Positive zu minimieren, sollten folgende Regeln beachtet werden:

1. **Reproduzierbarkeit:** Jedes Finding benötigt einen falsifizierbaren Testfall; andernfalls bleibt es eine bloße Hypothese.

2. **Deckelung:** Die Menge der Meldungen pro Code-Bereich sollte begrenzt werden, damit die KI gezwungen ist, ihre Kandidaten selbst zu priorisieren.

3. **Menschliche Kontrolle:** Die Einschätzung des Schweregrads und das Threat-Modell müssen zwingend in menschlicher Hand bleiben.

4. **Sorgfalt bei Code-Generierung:** Wenn KI selbst Code schreibt, sind zusätzliche Schwellenwerte, dokumentierte Absichten und Negativ-Testfälle erforderlich.

Für Solo-Maintainer, die kritische Open-Source-Projekte alleine betreuen, sind diese komplexen Workflows oft nicht realisierbar. Hier liegt die Lösung laut Experten weniger in einer technischen Optimierung, sondern eher in einer gemeinschaftlich finanzierten Triage-Kapazität. Letztlich wird die Softwarewelt erst dann sicherer, wenn die Kapazitäten zur Verifizierung von Sicherheitslücken mit der Geschwindigkeit der automatisierten Entdeckung Schritt halten können.