Die Zahlen, die Joshua Goldfarb ins Feld führt, markieren den Kern seines Arguments. 2018 vergingen im Schnitt 771 Tage, bis Angreifer eine offengelegte Schwachstelle in einen funktionierenden Angriff umsetzen konnten. 2026 soll dieser Zeitraum auf vier Stunden zusammenfallen. Zwischen diesen beiden Werten liegt aus seiner Sicht kein gradueller Fortschritt, sondern ein Bruch in der Logik der Verteidigung.
Goldfarb, der als Field CISO bei F5 arbeitet, beschreibt Frontier AI dabei nicht als Auslöser, sondern als Beschleuniger einer Entwicklung, die in der Sicherheitsbranche schon länger zu beobachten ist. Die Zeit von der Veröffentlichung einer Lücke bis zum Exploit werde inzwischen in Minuten und Stunden gemessen, wo sie vor nicht allzu langer Zeit noch in Monaten und Jahren gerechnet wurde.
Daraus folgt für ihn eine unbequeme Einsicht: Es ist nicht realistisch, dass Unternehmen einen Patch-Rhythmus im Stunden- oder Minutentakt durchhalten. Wer versucht, das Wettrennen auf diesem Feld zu gewinnen, optimiert einen Prozess, der ihm strukturell davonläuft. Genau in diese Richtung argumentiert auch Danelle Au in einem der begleitenden Kommentare: Gegen eine Maschine, die aus einer Schwachstellenbeschreibung innerhalb von zwanzig Stunden einen funktionierenden Exploit schreibt, lasse sich nicht anpatchen — man solle aufhören, ein Spiel zu optimieren, das nicht zu gewinnen sei.
Goldfarb zieht daraus jedoch nicht den Schluss, dass Unternehmen wehrlos wären. Es gebe weiterhin zahlreiche Hebel, um die eigene Angriffsfläche zu begrenzen und das Risiko rund um die Sicherheit der eigenen Anwendungen zu senken. Seine Empfehlungen versteht er ausdrücklich nicht als vollständige Liste, sondern als Ansatzpunkte für den Umgang mit einer veränderten Realität — es geht um Belastbarkeit der Anwendungen, nicht um Geschwindigkeit im Update-Management.
Relevant ist die Frage für Unternehmen doppelt: Es geht um die eigene Infrastruktur und um jene Anwendungen, die sie ihren Endkunden bereitstellen. Die Sorge, mit dem gestiegenen Tempo beim Identifizieren, Eindämmen und Patchen von Schwachstellen nicht mehr Schritt halten zu können, hatte Goldfarb bereits in seinem Beitrag zu Frontier AI und den Fragen, die Unternehmen ihren Sicherheitsanbietern stellen sollten, als zentrales Anliegen seiner Gesprächspartner benannt.
Sein Fazit fällt entsprechend nüchtern aus: Mit sorgfältiger Planung und konsequenter Umsetzung könnten Unternehmen ihre Anwendungen auch dann schützen, wenn Entdeckung, Offenlegung und Ausnutzung von Schwachstellen deutlich schneller ablaufen als bisher. Die Verteidigung verschiebt sich damit von der Reaktionszeit auf die Architektur.
Goldfarb war vor seiner Tätigkeit bei F5 unter anderem VP und CTO für Emerging Technologies bei FireEye sowie Chief Security Officer bei nPulse Technologies, bevor das Unternehmen von FireEye übernommen wurde. Früher in seiner Laufbahn leitete er als Chief of Analysis beim United States Computer Emergency Readiness Team (US-CERT) den Aufbau der dortigen Analyse- und Forensikfähigkeiten für Netzwerk, Endpunkte und Schadsoftware.