Die Gewinner des Wettbewerbs zeigten beeindruckende Leistungen. Das Team Devcore aus Taiwan sicherte sich mit 475.000 Dollar den ersten Platz und demonstrierte mehrere kritische Exploits gegen Microsoft-Produkte: 200.000 Dollar für eine Remote-Code-Execution-Lücke auf Microsoft Exchange mit Systemrechten, 175.000 Dollar für einen Sandbox-Escape in Microsoft Edge und 100.000 Dollar für eine SharePoint-Schwachstelle. Das Team StarLabs SG folgte knapp dahinter mit ebenfalls etwa 375.000 Dollar, unter anderem für einen VMware-ESX-Exploit mit Cross-Tenant-Code-Execution im Wert von 200.000 Dollar.
Besonders signifikant ist die wachsende Aufmerksamkeit für KI-Sicherheit. Forscher verdienen zwischen 15.000 und 40.000 Dollar für Exploits gegen KI-Systeme wie Cursor, LiteLLM und OpenAI Codex. Diese Entwicklung unterstreicht, dass generative KI-Systeme zur kritischen Infrastruktur werden und entsprechende Aufmerksamkeit in Sicherheitsfragen verdienen. Für deutsche Unternehmen, die zunehmend KI-Lösungen einsetzen, ist dies ein Weckruf: Die Sicherheit dieser neuen Technologien ist noch lange nicht vollständig verstanden.
Die Veranstaltung zeigte auch ihre Grenzen: Acht Exploits scheiterten, darunter Versuche gegen Oracle Autonomous AI Database und verschiedene andere Systeme. Besonders interessant war die Nachricht, dass viele registrierte Sicherheitsforscher gar nicht antreten konnten — alle Zeitplätze waren ausgebucht. Einige dieser Hacker offenbarten ihre Funde später direkt den betroffenen Herstellern oder machten sie öffentlich.
Aus deutscher Perspektive relevant: Microsoft, VMware und Linux sind Standardkomponenten in deutschen Rechenzentren, Behörden und Unternehmen. Die auf Pwn2Own demonstrierten Lücken werden von Sicherheitsanbietern weltweit analysiert und treffen schnell auf die Desktops und Server hierzulande. Das BSI empfiehlt regelmäßig, solche Erkenntnisse zu monitoren und Patches zeitnah einzuspielen — ein Rat, der angesichts der Prämienhöhe ernst zu nehmen ist. Die Hersteller werden unter Druck stehen, diese Sicherheitslücken schnell zu schließen, bevor sie in die falschen Hände geraten.