Der Anstieg der Vulnerabilities folgt einem klaren Muster: Bei den Chrome-Updates vom 15. April und 28. April waren jeweils 16 beziehungsweise 21 Sicherheitslücken von Google selbst gemeldet worden. Mit dem Update vom 5. Mai explodierte die Zahl auf 100 intern entdeckte Schwachstellen. Mehr als 70 Vulnerabilities stammten aus den zwei darauf folgenden Releases – allesamt markiert als von Google gefunden.
Obwohl Google die Nutzung von KI nicht explizit bestätigt, deuten mehrere Indizien darauf hin. Das Unternehmen kündigte kürzlich Kürzungen bei seinen Bug-Bounties an und begründete dies damit, dass “KI und Automation” seine Teams dabei helfen, “in beispiellosem Tempo” vorzugehen. In einer offiziellen Stellungnahme erklärte Google: “Die neuesten Fortschritte in KI haben es erheblich erleichtert, einen Testfall zu analysieren, die Grundursache zu erklären, passende Fixes vorzuschlagen und Varianten bekannter Probleme zu identifizieren.”
Google arbeitet an mehreren internen KI-Sicherheitswerkzeugen. CodeMender, entwickelt von Google DeepMind, identifiziert Sicherheitslücken automatisiert, schlägt präzise Fixes vor, testet diese sicher und kann Patches über abhängige Systeme verteilen – alles unter Kontrolle der Entwickler. BigSleep ist ein weiteres internes Tool für Vulnerability Discovery.
Dabei ist unklar, welches exakt KI-Modell zum Einsatz kommt. Google gehört zu etwa 50 Organisationen mit Zugang zu Anthropics neuestem Modell Claude Mythos. Auch Mozilla, Microsoft und Palo Alto Networks berichten von signifikanten Steigerungen bei der Vulnerabilities-Entdeckung durch KI-gestützte Tools.
Für deutsche IT-Sicherheitsteams stellt diese Entwicklung eine doppelte Herausforderung dar: Einerseits profitieren sie von schnelleren Bugfixes. Andererseits wächst der Druck auf Patch-Management-Prozesse. Besonders Unternehmen unter DSGVO-Verpflichtungen müssen sicherstellen, dass Sicherheitslücken prompt geschlossen werden – Verzögerungen können zu erheblichen Bußgeldern führen. Das BSI wird diese Entwicklung aufmerksam verfolgen und dürfte zeitnah Handlungsempfehlungen aktualisieren.