Im Zentrum der Mitteilung der Five Eyes steht die Erwartung, dass sich die Fähigkeiten moderner KI-Modelle in sehr kurzer Zeit auf die Cybersicherheit auswirken werden. Die Dienste aus den USA, Großbritannien, Kanada, Australien und Neuseeland schreiben, Frontier-Modelle würden voraussichtlich die derzeitigen Branchenerwartungen übertreffen und sowohl Angriffs- als auch Abwehrmöglichkeiten grundlegend verändern. Die Entwicklung werde nicht in Jahren, sondern in Monaten spürbar.
Nach Darstellung der Nachrichtendienstpartner erleichtert KI Angreifern den Zugang zu wirkungsvollen Methoden. Sie senke die Einstiegshürden für böswillige Akteure und steigere zugleich Geschwindigkeit und Komplexität von Angriffen. Besonders heben die Behörden hervor, dass das ohnehin knappe Zeitfenster zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung weiter schrumpft.
Die Warnung ist zugleich als Handlungsanweisung für Unternehmen formuliert. Führungskräfte sollten ihre Angriffsfläche dringend verkleinern, indem sie Systemzugänge und externe Konnektivität abschalten, wo diese nicht erforderlich sind. Zudem sollten sie gezielt prüfen, ob Systeme überhaupt öffentlich erreichbar sein müssen, und nicht benötigte Komponenten isolieren. Auch Patch-Prozesse müssten beschleunigt werden, weil KI den Zeitraum bis zur Ausnutzung von Schwachstellen verkürze.
Besonderes Gewicht legt die Mitteilung auf Altlasten in IT-Umgebungen. Nicht mehr unterstützte Systeme seien leichte Ziele, heißt es. Solche Systeme seien nicht nur technische Schulden, sondern strategische Verbindlichkeiten. Ebenso fordern die Five Eyes, Zugriffskontrollen zu überprüfen und zu verschärfen. Auf kritische Systeme sollten so wenige Personen wie möglich Zugriff haben; zudem seien robuste Authentifizierungsmethoden unverzichtbar.
Als zentrales Leitmotiv nennt die Erklärung Cyberresilienz. Unternehmensleitungen sollten Risiken verstehen und analysieren, internen Sicherheitsverantwortlichen Geld und Befugnisse geben und sicherstellen, dass grundlegende Cybersicherheitspraktiken und Kontrollen tatsächlich eingesetzt werden. Außerdem müssten sie neue Bedrohungen und aktuelle Empfehlungen laufend verfolgen.
Technisch empfehlen die Dienste, „Secure by Design“ und „Secure by Default“ zum Standard zu machen. Für belastbare Resilienz reiche es außerdem nicht aus, sich auf nur eine einzelne Lösung oder Technologie zu verlassen. „Verteidigung in der Tiefe bleibt essenziell“, heißt es in der Mitteilung.
Die Five-Eyes-Warnung steht laut dem Quelltext in einem breiteren politischen und industriellen Kontext. Die US-Behörde CISA teilte kürzlich mit, dass Bundesbehörden nun ein Priorisierungs- und Triage-System nutzen müssen, um zu entscheiden, ob bestimmte Schwachstellen in weniger als drei Tagen gepatcht werden müssen; ein Kriterium ist dabei unter anderem, ob KI eingesetzt wird. Ebenfalls kürzlich hatte die Trump-Regierung Anthropic den Verkauf der leistungsstarken Modelle Mythos und Fable ins Ausland untersagt und dies mit Bedenken der nationalen Sicherheit begründet. Präsident Trump sagte Ende vergangener Woche, er betrachte das Unternehmen nicht länger als Sicherheitsbedrohung. Eine Sprecherin oder ein Sprecher von Anthropic erklärte Reuters, beide Seiten arbeiteten in der Angelegenheit weiter zusammen.