RSAC 2026: KI dominiert die Konferenz – während die US-Regierung fehlt

Das gewählte Konferenzmotto „The Power of Community" war laut Irei eine bewusste, pointierte Entscheidung: Es sollte die Rolle menschlicher Bedienung in KI-Prozessen hervorheben. Künstliche Intelligenz sei ohne menschliche Operatoren nicht intelligent, und zur Sicherheit aller müssten Menschen in diese Abläufe eingebunden bleiben. Vor dem Hintergrund verbreiteter Ängste vor Arbeitsplatzverlust wollten die Organisatoren betonen, dass Menschen weiterhin gebraucht werden.

Umso stärker fiel die Abwesenheit der US-Bundesregierung auf, die Geller als auffälligen Widerspruch zum Community-Gedanken beschreibt. Nach Gesprächen mit zahlreichen Teilnehmern gilt die RSAC als einer der fruchtbarsten Orte für den Austausch zwischen Behörden und Community. Bei Behörden, die eng mit Wirtschaft und Sicherheitsforschern zusammenarbeiten, habe es Kürzungen gegeben. Viele hätten zudem erwartet, dass die kürzlich vorgestellte nationale Cybersicherheitsstrategie hier mit praktischen Details unterlegt würde – was ausblieb.

Wright verwies auf einen Beitrag seiner Kollegin Becky Bracken bei Dark Reading, wonach andere Regierungen, etwa aus der EU, ihre Fachleute schickten, um Entwicklungen in ihren Regionen zu erörtern. Mit Blick auf eine mögliche Verschiebung der US-Politik bei Spyware berichtet Wright, dass Gegner solcher Software – Organisationen der Zivilgesellschaft, Forscher und spezialisierte Anbieter – über fehlende Kommunikation und Kooperation mit der Regierung klagten und ohne klare Richtung agierten.

Beim Thema KI beobachtete Wright eine Kluft zwischen Führungskräften und Forschern. Forscher forderten Leitplanken und menschliche Aufsicht beim Einsatz agentenbasierter KI und von Coding-Assistenten, während manche Manager menschliche Kontrolle abschaffen wollten, weil sie Tempo koste. Geller verortet diesen Drang zur Automatisierung weniger in der Sicherheit als im Streben nach Gewinnmargen – weniger Personal bedeute höhere Profite. Zugleich betont er, dass auch KI-Mitarbeiter menschliche Aufsicht und ein Governance-Rahmenwerk bräuchten, da weder Mensch noch Maschine unfehlbar sei.

Wright berichtete von einer Session des Anbieters Check Point: Deren Forscher erklärten, KI-Coding-Assistenten durchlöcherten in 20 Jahren aufgebaute Schutzmaßnahmen und würfen die Sicherheit „um ein Jahrzehnt zurück", weil sie einen Weg vom Endgerät eines Mitarbeiters bis zu den „Kronjuwelen" wie Entwicklungsumgebungen und wichtigen Daten eröffneten – auch ohne ausgenutzte Schwachstelle. Überrascht habe die Forscher, wie viele Unternehmen ohne Innehalten auf diese Werkzeuge zustürmten.

Es gab auch optimistische Momente: Irei verwies auf eine Session mit dem CISO von Exabeam, dessen agentenbasierte KI im SOC an dessen erstem Tag autonom einen nordkoreanischen böswilligen Insider erkannte – innerhalb von Stunden, womöglich Minuten nach dem Login.

Geller äußerte sich zudem zum CVE-Programm, dessen staatliche Finanzierung im April des Vorjahres beinahe weggefallen wäre. In Europa entstanden Alternativen, eine davon von der EU betrieben. Laut einem GitHub-Vertreter im CVE-Panel sei das Volumen eingereichter Schwachstellenmeldungen erdrückend – viele stammten von KI-Agenten, seien von geringer Qualität oder „halluzinierten" nicht existente Lücken. Irei erwähnte schließlich einen Vortrag von Diana Kelly, CISO bei Noma Security, über „Model Collapse" – das Risiko, dass KI-Modelle ihre eigenen Inhalte konsumieren und so an Qualität verlieren.