Drei Kernbefunde nannte Lanowitz aus der Omdia-Untersuchung zu offensiver Sicherheit. Erstens befeuere KI den Bedarf an offensiven Strategien — bei gleichzeitig berechtigten Bedenken hinsichtlich Vertrauen und Verantwortung. Zweitens funktionierten die traditionellen Verfahren nicht mehr: klassische Penetrationstests, klassisches Red Teaming, Schwachstellenbewertung und Tests auf Social Engineering. Drittens steige die Ausgabenbereitschaft, weil sich alles beschleunigt habe: die Angriffe, die Angreifer und die Ausnutzung von Schwachstellen. Geschwindigkeit sei damit die größte Sorge — und kontinuierliche Sichtbarkeit die Antwort darauf.
Beim Einsatz agentischer KI in der offensiven Sicherheit nannten die Befragten drei Bedenken: mögliche Prompt Injection oder andere feindselige Eingaben; Agenten, die sich nicht wie gewünscht verhalten, weil sie autonom und nicht deterministisch arbeiten; sowie Ressourcenverbrauch und potenziell hohe Kosten. Auf die Frage nach der Kostenkontrolle sagte Lanowitz, eine belastbare Antwort kenne derzeit niemand. Klar sei nur, dass Organisationen bei höheren Ausgaben zugleich Risiken senken und die Agenten unter Kontrolle behalten wollten.
Gewünscht werde vor allem kontinuierliche Überwachung der Angriffsfläche über alle Vektoren hinweg, fortlaufende Asset-Erkennung durch Agenten und eine Priorisierung der Behebung nach Geschäftsrisiko. Dass KI inzwischen in Personal-, Buchhaltungs- und Finanzsystemen stecke, vergrößere die Angriffsfläche zusätzlich. Weitere Anforderungen: Sichtbarkeit über die gesamte IT-Landschaft und Integration in vorhandene Werkzeuge, statt bestehende Systeme komplett zu ersetzen. Das Thema sei auf Vorstands- und C-Level-Ebene angekommen.
Gegen das Risiko außer Kontrolle geratener Modelle empfahl Lanowitz aus technischer Sicht den Bau von Sandboxes und die Begrenzung des Explosionsradius eines Agenten. In den vergangenen drei Monaten habe es in der Branche viel Innovation gegeben; bei Kosten und Kontrolle sei nun weitere Innovation der Anbieter gefragt.
Aus der zweiten, neuen Omdia-Untersuchung zur Software-Lieferkette hob die Analystin eine Zahl hervor: 99 Prozent der Organisationen geben an, in die Software-Lieferkette zu investieren. Für Lanowitz ein Beleg dafür, dass Führungsebene und Praktiker das Problem gleichermaßen anerkennen — und dass Fachbereich und Technik hier abgestimmt vorgehen. Software komme heute aus immer mehr Quellen: Open Source, Drittanbieter und inzwischen KI-generierter Code. Ob letzterer mehr Schwachstellen einschleppt, sei offen.
Deutlich schlechter fällt der zweite Wert aus: Nur 44 Prozent der Organisationen erstellen eine Software-Stückliste (SBOM) zum Zeitpunkt des Builds — genau dann, wann es laut Lanowitz geschehen sollte. Als Begründung gaben Befragte an, eine SBOM müsse aus einer Vielzahl von Werkzeugen zusammengesetzt werden und sei anschließend schwer zu pflegen; auch hier sieht Lanowitz die Anbieter in der Pflicht. Eine korrumpierte oder infiltrierte Lieferkette könne — ob durch einen Angreifer oder durch einen entgleisten Agenten — ein Unternehmen lahmlegen.
Zum Abschluss verwies Lanowitz auf Omdias jährliche Entscheider-Untersuchung, für die Führungskräfte zu ihren Ausgabenplänen befragt wurden. Wichtigster Investitionsbereich ist demnach Cyber-Resilienz: die Fähigkeit einer Organisation, sich rechtzeitig auf unvorhergesehene Ereignisse einzustellen — ob Cyberangriff, menschengemachter Vorfall oder Naturereignis.