Das Zeitfenster für Patches ist geschlossen. So ist F5 für das gerüstet, was als Nächstes kommt.

Kunal AnandChief Product Officer | F5

In FFmpeg gibt es eine Codezeile, die automatisierte Fuzzer rund fünf Millionen Mal durchlaufen haben. In dieser Zeile schlummerte unbemerkt ein 16 Jahre alter Fehler. Nichts wies darauf hin. Dann setzte Anthropic sein neues Modell Claude Mythos Preview auf die Codebasis an. Das Modell las den Code, erschloss, was er bewirken sollte, und fand den Fehler. Darüber hinaus entdeckte es Tausende weitere, bis dahin unbekannte Sicherheitslücken in allen wichtigen Betriebssystemen und Browsern. Eine davon bestand in OpenBSD bereits seit 27 Jahren. OpenAI und andere entwickeln vergleichbare Fähigkeiten.

Dies ist kein Moment, der nur einen einzelnen Anbieter betrifft.

Dies ist der Moment, in dem sich die Gesetzmäßigkeiten der Softwaresicherheit verändert haben.

Die Mathematik, auf die es ankommt

Sergej Epps Zero-Day-Uhr, die auf 3.515 CVE-Exploit-Paaren aus CISA KEV, VulnCheck KEV und XDB basiert, bringt es mit vier Zahlen auf den Punkt:

1. Im Jahr 2018 betrug die mediane Zeitspanne zwischen der Offenlegung einer Schwachstelle und dem ersten beobachteten Exploit 771 Tage. Unternehmen hatten mehr als zwei Jahre Zeit, um Patches einzuspielen.
2. Bis 2023 war dieses Zeitfenster auf 6 Tage geschrumpft.
3. Bis 2024 waren es 4 Stunden.
4. Im Jahr 2025 wurden viele ausgenutzte Schwachstellen bereits als Angriffswaffe eingesetzt, bevor sie öffentlich bekannt gegeben wurden.

Unterdessen benötigt ein durchschnittliches Unternehmen nach wie vor 20 Tage, um einen Patch zu testen und bereitzustellen. Die meisten können pro Monat nur etwa 10 % der neuen Schwachstellen beheben. Diese Lücke lässt sich nicht durch schnelleres Patchen schließen. Nicht vierteljährlich. Nicht monatlich. Realistischerweise nicht einmal wöchentlich.

Diese Rechnung geht nicht auf.

Warum KI das Spiel zugunsten der Offensive verschiebt

Es gibt einen tieferliegenden Grund dafür, dass KI offensive Fähigkeiten schneller vorantreibt als defensive – und jede Führungskraft im Bereich Cybersicherheit sollte ihn verstehen.

Angreifer verfügen in der Cybersicherheit über den kostengünstigsten Erfolgsindikator: War der Exploit erfolgreich? Die Antwort ist binär und liegt sofort vor. Entweder hat man Zugriff auf die Shell erlangt oder nicht. Maschinelles Lernen profitiert in besonderem Maße von dieser Art von Signal.

Die Verteidigung steht vor dem gegenteiligen Problem. Ist diese Warnmeldung echt? Ist dieses System sicher? Die Rückmeldung ist uneindeutig, langsam und kostspielig. Verrauschtes Signal, unterbrochene Rückkopplung. KI funktioniert auf der Seite mit dem eindeutigen Prüfkriterium besser. Deshalb hat sich die KI-gestützte Ausnutzung von Schwachstellen schneller industrialisiert als die KI-gestützte Verteidigung.

Das ist die strukturelle Wahrheit hinter den Mythos-Zahlen. Anthropic hat keine Waffe entwickelt. Ein universell einsetzbares Frontier-Modell wurde schlicht gut genug darin, Code zu lesen, um die Asymmetrie bei der Verifizierung noch weiter zugunsten der Angreifer zu verschieben.

Jedes Labor, das Frontier-Modelle entwickelt, wird diese Schwelle überschreiten. Ausgehend vom heutigen Stand der Leistungskurven gehe ich davon aus – das ist zwar Spekulation, aber zugleich die Planungsannahme, an der ich mich orientiere –, dass es innerhalb von zwölf Monaten Open-Source-Modelle mit Code-Reasoning-Fähigkeiten auf Mythos-Niveau geben wird: Modelle, die jeder mit einer GPU lokal und unbeaufsichtigt ausführen kann.

Was sich ändern muss

An diesem Zeitplan sollten sich alle Softwareanbieter und Sicherheitsteams in Unternehmen orientieren. Was muss sich also ändern?

Wie wir Code testen: Statische Analysen und regelmäßige Penetrationstests wurden für eine Welt entwickelt, in der das Aufspüren von Schwachstellen langsam und kostspielig war. Diese Welt gibt es nicht mehr. Tests müssen kontinuierlich, KI-gestützt und schlussfolgerungsbasiert erfolgen. Modelle müssen Ausführungspfade nachverfolgen, Abläufe verknüpfen und die Angriffskette statt nur einzelner Fehler aufdecken. Mustererkennung ist lediglich die Grundvoraussetzung. Schlussfolgerungsvermögen ist der Maßstab.

Die Art und Weise, wie wir Code entwickeln: Sicherheit darf nicht länger erst am Ende der Entwicklungspipeline geprüft werden. Sie muss bereits beim Schreiben berücksichtigt werden, wobei KI-gestützte Tools riskante Konstrukte kennzeichnen, bevor sie übernommen werden.

Die Art und Weise, wie wir Code verteilen: Zeitpläne für die Offenlegung, Aktualisierungszyklen und Verfahren zur Verwaltung von Geräteflotten waren allesamt auf ein langsameres Tempo ausgelegt. Jeder Softwareanbieter muss sich ehrlich fragen, ob seine derzeitigen Prozesse in einer Welt bestehen können, in der der Exploit vor der Sicherheitswarnung kommt.

Das gilt für Code, den wir noch nicht ausgeliefert haben. Ebenso schwierig ist die Frage, wie wir mit Code umgehen, der bereits produktiv eingesetzt wird. Hier findet der eigentliche Wandel statt. Und genau hier ist F5 dafür aufgestellt, eine führende Rolle zu übernehmen.

Die Laufzeitumgebung ist die Antwort

Wenn sich das Zeitfenster für Patches schließt, bleibt der Datenverkehrspfad bestehen. Das ist keine Ausweichlösung. In der neuen Rechnung ist er der primäre Kontrollmechanismus.

Laufzeitschutz kehrt die Asymmetrie bei der Überprüfung um. Statt danach zu fragen, ob irgendwo in einer Codebasis eine hypothetische Schwachstelle existiert, beobachtet die Laufzeitumgebung, was eine Anwendung tut, und greift ein, wenn ihr Verhalten vom vorgesehenen Verhalten abweicht. Das Signal ist konkret. Die Rückmeldung ist eindeutig. Ein Angreifer kann tausend Zero-Day-Schwachstellen in Ihrem Code finden – doch wenn der Exploit den Datenpfad nicht durchlaufen kann, führt der Fehler nicht zu einem Sicherheitsvorfall.

F5 ist seit 30 Jahren im Datenpfad präsent. F5 BIG-IP, F5 NGINX und F5 Distributed Cloud Services – die F5 Application Delivery and Security Platform – wurden genau für diese Ebene entwickelt. Unsere Architekturentscheidung, die Anwendung dort zu schützen, wo der Datenverkehr fließt, ist in einer Zeit, in der Code nicht schnell genug gepatcht werden kann, wichtiger denn je. Mit all unseren aktuellen Aktivitäten im Bereich KI-Traffic-Management und Laufzeitsicherheit übertragen wir diese Entscheidung auf die Workloads, die unsere Kunden heute entwickeln.

Was wir mit unserem eigenen Code machen

Wir leisten auch auf der anderen Seite unseren Beitrag. Im Rahmen unserer betrieblichen Praxis setzen wir modernste KI-Modelle auf unsere eigene Codebasis an.

Die Modelle lesen den Quellcode direkt, verfolgen riskante Abläufe über Module und Programmiersprachen hinweg und analysieren konkrete Implementierungsdetails. Ein zweiter Verifizierungsdurchlauf trennt relevante Hinweise von Fehlalarmen. Die Ergebnisse werden anhand von CWE-Zuordnungen, Schweregraden, Datei- und Zeilenangaben sowie Informationen zur Ausnutzbarkeit klassifiziert und fließen direkt in die priorisierte Behebung ein.

Das Ziel besteht nicht darin, einzelne Fehler zu finden. Es geht darum, Angriffsketten aufzudecken, die wirklich relevanten Schwachstellen zu priorisieren und die Erkenntnisse in gehärteten Code zu überführen. Mit jedem Zyklus entsteht eine Wissensbasis, die den nächsten schneller und präziser macht. Je leistungsfähiger die fortschrittlichsten Modelle werden, desto gezielter setzen wir sie ein. Unsere Codebasis wird stets mit den besten verfügbaren Tools und Modellen getestet, denn genau diese werden auch Angreifer einsetzen.

Die Kosten und wer sie trägt

Ich möchte offen darlegen, was das für unsere Kunden bedeutet.

Die Offenlegung weiterer Schwachstellen ist kein Zeichen für weniger sichere Software, sondern für robustere Prozesse. Jede Schwachstelle, die wir finden und beheben, bevor ein Angreifer sie ausnutzt, bedeutet ein Risiko weniger im Produktivbetrieb. Doch jede Fehlerbehebung bringt auch einen Patch mit sich, den jemand bereitstellen muss. Wer BIG-IP im Produktivbetrieb einsetzt, wird mehr Patches erhalten, und bisher vierteljährliche Aktualisierungszyklen müssen verkürzt werden. Wir investieren in F5 Insight und das Flottenmanagement, um den gesamten Ablauf zu beschleunigen: Wir finden die Schwachstelle, beheben und validieren sie, und Sie stellen den Patch bereit. Und wenn die Bereitstellung Zeit benötigt, schützt der Datenverkehrspfad die Anwendung, bis der Code auf dem neuesten Stand ist.

Dieser letzte Teilsatz bringt die gesamte Argumentation auf den Punkt:

1. Schwachstellen schneller finden, als Angreifer sie ausnutzen können.
2. Beheben Sie Schwachstellen schneller, als Exploits als Angriffsmittel eingesetzt werden können.
3. Schützen Sie die Anwendung zur Laufzeit, bis der Code entsprechend angepasst ist.

Die drei Disziplinen funktionieren nur im Zusammenspiel. Keine von ihnen funktioniert für sich allein.

Die neue Normalität

So funktioniert Softwaresicherheit von nun an. Nicht als Kampagne, nicht als Reaktion auf die Veröffentlichung eines einzelnen Modells. Das Zeitfenster für Patches ist geschlossen und wird sich nicht wieder öffnen.

Einige Unternehmen werden dies als eine vorübergehende Phase betrachten, die es zu überstehen gilt. Erfolgreich werden jedoch nur diejenigen sein, die dies als die neue Normalität akzeptieren und ihre Systeme auf Code- und Datenverkehrsebene kontinuierlich darauf ausrichten.

F5 stellt sich auf die neue Normalität ein. Unsere Kunden tun das ebenfalls. Gemeinsam werden wir diese wichtige Aufgabe angehen.

Über den Autor

Kunal AnandChief Product Officer | F5

Kunal Anand leitet als Chief Product Officer die Produktorganisation von F5. Er ist für Produktvision, Strategie und Umsetzung verantwortlich und stellt die Entwicklung wegweisender Lösungen sicher, die kritische Herausforderungen bewältigen und außergewöhnliche Kundenerlebnisse schaffen. In seiner vorherigen Funktion als Chief Technology and AI Officer bestimmte Kunal die Technologie- und KI-Strategie sowie die entsprechende Vision des Unternehmens. Vor seiner Zeit bei F5 hatte Kunal bei Imperva die Doppelfunktion des Chief Technology Officer und Chief Information Security Officer inne. Sein Weg zu Imperva begann 2018 mit der Übernahme von Prevoty, einem 2013 von ihm mitgegründeten Start-up für Anwendungssicherheit. Vor seinem Wechsel zu Prevoty war er Director of Technology bei BBC Worldwide. Kunal verfügt über langjährige Innovations- und umfassende technische Erfahrung und leitete bei Gravity, MySpace und dem NASA Jet Propulsion Lab Teams in den Bereichen Sicherheit, Daten, Technologie und Engineering. Kunal verfügt über mehr als 15 Jahre Erfahrung in den Bereichen KI und maschinelles Lernen – von Modelltraining und dem Einsatz KI-gestützter Algorithmen zur Produktoptimierung bis hin zur Konzeption und Implementierung von KI-Architekturen. Kunal hat einen Bachelor-of-Science-Abschluss in Informatik vom Babson College.

Weitere Blogbeiträge von Kunal Anand