Vishwanath knüpft an sein Buch „The Weakest Link“ an und beschreibt zunächst ein Grundproblem heutiger Authentifizierung. Das bestehende Modell sei nie für den großflächigen Einsatz über Milliarden Nutzer, Anwendungen und Geräte hinweg entworfen worden. Stattdessen sei über die Zeit ein Flickwerk aus Passwörtern, Sicherheitsfragen, Einmalcodes, Authenticator-Apps, Wiederherstellungsgeräten und ständigen Abfragen entstanden. Die Last liege dabei beim Menschen: Nutzer müssten Geheimnisse merken, Geräte mitführen, Hinweise deuten und Täuschungsversuche erkennen.
Direkt in Betriebssysteme integrierte große Sprachmodelle könnten diese Architektur laut Vishwanath grundlegend verändern. Authentifizierung müsse dann nicht mehr nur auf statischen Zugangsdaten oder einzelnen Abfragen beruhen. Systeme könnten Nutzer fortlaufend anhand von Verhaltensmustern, Kommunikationsverläufen, Gerätebeziehungen, Stimmeigenschaften, früheren Interaktionen und einem dynamischen Verständnis des Nutzerverhaltens einordnen. Identität würde sich damit weniger aus gespeicherten Geheimnissen als aus gelebten Interaktionen ableiten.
Als zweite Schwäche nennt Vishwanath den fehlenden Kontext. Klassische E-Mail-Sicherheit halte zwar offensichtlichen Spam inzwischen oft wirksam auf, doch Social Engineering bleibe erfolgreich, weil Maschinen den situativen Zusammenhang nur schwer erfassen. Eine kurze Mail oder Textnachricht eines unbekannten Absenders könne legitimer Kommunikation stark ähneln. Das Problem sei nicht nur die Frage, wer jemand ist, sondern was gerade tatsächlich geschieht.
Hier sieht Vishwanath einen möglichen Vorteil integrierter, auf großen Sprachmodellen basierender Betriebssysteme. Wenn ein System gleichzeitig E-Mail, Messaging, Sprache, Kalender, Browserverhalten, frühere Kommunikation, Kaufhistorie und Verhalten auf Geräteebene auswerten kann, könnte es Manipulationsmuster während ihres Ablaufs erkennen. Als Beispiel nennt er einen Anruf von einer angeblichen Bank, parallel zu einer Textnachricht zur Verifizierung einer Transaktion und einer E-Mail zum Zurücksetzen von Zugangsdaten. Heute sehe jedes System nur sein eigenes Fragment; ein integriertes KI-natives Betriebssystem könnte die Vorgänge als koordinierte Manipulation deuten und den Nutzer in Echtzeit warnen.
Die dritte Schwäche ist für Vishwanath die Geschwindigkeit. Social Engineering funktioniere, weil Angreifer die Zeit zum Erkennen, Prüfen und Infragestellen massiv verkürzen. Häufig sei eine E-Mail bereits geöffnet, ein Link angeklickt oder ein Anruf angenommen, bevor überhaupt Misstrauen aufkomme. Deshalb hätten Warnbanner, Phishing-Hinweise und ähnliche Maßnahmen nur begrenzten Erfolg: Sie setzten oft erst ein, wenn die Interaktion schon begonnen habe.
KI-native Betriebssysteme könnten laut Vishwanath diese Logik verschieben. Solche Systeme könnten Angriffe vor ihrem Eintreten stoppen, während einer Interaktion eingreifen und den Schaden im Nachhinein begrenzen, etwa durch das Sperren von Konten, das Beschränken von Überweisungen, das Isolieren von Anwendungen oder das Markieren anomaler Verhaltensabfolgen. Er beschreibt das als Übergang von Nutzerwachsamkeit zu Systemwachsamkeit.
Zur Einordnung verweist Vishwanath auf die 1990er- und frühen 2000er-Jahre, als sich selbstverbreitende Computerviren zu den dominierenden Bedrohungen zählten. Antivirus-Software habe bösartige Aktivitäten nicht beseitigt, aber die Angriffsökonomie verändert. Weil Schutzsysteme auf Endpunkten flächendeckend und leistungsfähiger wurden, hätten Angreifer auf andere Wege wie Zugangsdatendiebstahl, Phishing, Ransomware und Social Engineering verlagert. Eine ähnliche Dynamik könne nun erneut entstehen, wenn Milliarden Geräte dauerhaft mit KI-Systemen arbeiten, die Verhalten beobachten, Manipulationsmuster erkennen, Bedrohungsinformationen teilen und in Echtzeit reagieren.
Der Beitrag ist ausdrücklich als Meinungsstück gekennzeichnet. Verfasst wurde er von Arun Vishwanath, PhD, MBA, einem Cybersicherheitsstrategen mit Schwerpunkt auf menschlichem Cyberrisiko, Social Engineering und KI-Governance.