Im Zentrum von MSEC steht die Analyse mobiler Anwendungen über ihre bloßen Namen und Versionsnummern hinaus. Lookout argumentiert, dass diese Angaben nur einen kleinen Teil des tatsächlichen Risikoprofils offenlegen. Entscheidend sei die Transparenz über eingebettete Softwarekomponenten, Abhängigkeiten und darunterliegende Schwachstellen.
Dafür untersucht MSEC laut Hersteller jedes Gerät in der mobilen Flotte eines Unternehmens, um die vorhandenen Apps zu erfassen. Anschließend erstellt das System aus den Binärdateien der jeweiligen Anwendungen eine proprietäre SBOM. Aus dieser Stückliste leitet Lookout ab, welche Komponenten in einer App enthalten sind, und korreliert diese Informationen mit vorhandenen Schwachstellendatenbanken, etwa mit der KEV-Liste, also dem Katalog bekannter aktiv ausgenutzter Schwachstellen von CISA.
Nach Angaben von Jim Dolce, CEO von Lookout, kann das System damit erkennen, welche Anwendungen WolfSSL verwenden, welche App-Version betroffen ist und auf welchem Gerät sowie bei welchem Nutzer die Anwendung im Einsatz ist. Diese Informationen sollen anschließend für Gegenmaßnahmen genutzt werden. Dolce beschreibt MSEC damit als Werkzeug, das eine Gefährdung identifiziert und die für die Behebung nötigen Details liefert. Der Anspruch gilt dabei nicht nur für einzelne Programme, sondern für sämtliche Softwarekomponenten aller Apps auf allen mobilen Geräten einer Organisation.
Als Beispiel führt Dolce WolfSSL an, eine kleine, schnelle und portable SSL/TLS-Bibliothek in ANSI C, die vor allem für Geräte mit begrenztem Speicher entwickelt wurde und laut Quelltext auf mehr als einer Milliarde Geräten vorhanden ist. In mobilen Banking-Apps werde WolfSSL wahrscheinlich eingesetzt. Dolce sagt über die von Mythos Glasswing gefundene und veröffentlichte Schwachstelle, sie sei sehr ernst und könne bei Ausnutzung dazu verwendet werden, eine Bank nachzuahmen und so Zugangsdaten abzugreifen. Genau darin sieht Lookout den praktischen Nutzen von MSEC: Angreifer könnten wissen, dass eine App verwundbar ist, während Sicherheitsteams womöglich gar nicht wissen, dass Mitarbeiter diese Anwendung verwenden.
MSEC ergänzt laut Lookout das bereits vorhandene Produkt AI Visibility & Governance. Während dieses Unternehmen bei der Erfassung von Einführung und Nutzung von KI im Betrieb unterstützen soll, liefert MSEC nach Darstellung des Anbieters Einblick in Softwarezusammensetzung und Expositionsprofil der betroffenen Anwendungen. Gemeinsam sollen beide Produkte einen umfassenderen Blick auf Anwendungsrisiken, Sicherheit und Governance bieten. Lookout spricht in diesem Zusammenhang von einem Wechsel weg von reaktiver Anwendungsverwaltung hin zu proaktivem Exposure-Management.
Der derzeitige Ansatz hat allerdings eine klare Grenze: MSEC gleicht die in SBOMs gefundenen Komponenten mit existierenden Schwachstellendatenbanken ab und kann damit nur bekannte Schwachstellen erkennen. Der Quelltext weist ausdrücklich darauf hin, dass keine Schwachstellendatenbank unbekannte Lücken enthalten kann. Lookout stellt deshalb bereits die nächste Ausbaustufe in Aussicht.
Dolce sagt, Angreifer könnten fortschrittliche KI-Modelle wie Mythos einsetzen, um Schwachstellen zu finden und auszunutzen. Lookout wolle dieselben Modelle defensiv nutzen. Künftig solle MSEC über KEV und andere Datenbanken hinausgehen, indem solche KI-Modelle unbekannte Schwachstellen in den per SBOM erfassten Komponenten aufspüren. Laut Dolce will Lookout seine SBOMs dafür nutzen, unbekannte Schwachstellen selbst zu finden und ebenfalls zu katalogisieren. Der Ablauf beginne jedoch weiterhin mit einem vollständigen App-Inventar in der mobilen Flotte, einer genauen SBOM für alle Apps und dem Abgleich mit bekannten Schwachstellendatenbanken.