Die Befunde von Booz Allen decken sich mit anderen Bewertungsversuchen. Das AI Security Institute, ein Forschungsarm des britischen Ministeriums für Wissenschaft, Innovation und Technologie, berichtete im Juni, dass Capture-the-Flag-Wettbewerbe bestätigten: Mythos kann eine durchgehende Angriffskette abschließen. Auch OpenAIs GPT-5.5 bewältigte den Test über 32 Schritte. Beide Modelle blieben allerdings unter einer Erfolgsquote von 50 Prozent – Mythos schaffte drei von zehn Versuchen, GPT-5.5 zwei von zehn.
Wie stark solche Verfahren die Schlagzahl erhöhen, zeigte ein Angriff auf taiwanische Regierungsserver im Juli, den eine chinesischsprachige Bedrohungsgruppe verübte. Die Operation lief über ein Zeitfenster von vier Tagen und presste zahlreiche Aufklärungs- und Ausführungsschritte zusammen. Die Sicherheitsfirma Tenable, die diesen Vorfall zusammen mit einem halben Dutzend ähnlicher KI-gestützter Angriffe untersuchte, schreibt: „Die Agenten wählten selbst aus, welche Systeme sie kartierten, welche Techniken sie aus öffentlichen Quellen übernahmen und wann sie in neue Sektoren vordrangen – alles ohne schrittweise menschliche Anleitung.“
Für Medairy folgt daraus, dass Sicherheitsbetrieb im menschlichen Tempo künftig nicht mehr genügt. Eine Reaktionszeit von vier Stunden gelte heute als vernünftig oder sogar außergewöhnlich, werde aber künftig zu langsam sein. Früher habe die Verteidigung einen Menschen am Terminal überholen können; ein in der Breite operierender Agent überhole dagegen die Verteidigung.
Nico Waisman, CISO des Offensiv-Sicherheitsanbieters XBOW, sieht den eigentlichen Beschleuniger nicht bei den Spitzenmodellen, sondern bei Modellen mit offenen Gewichten. Diese seien im Cyberbereich spürbar besser geworden, und genau das verändere die Rentabilitätsrechnung: „Man braucht keinen Zugang zu Spitzenmodellen mehr. Ab diesem Punkt wird Automatisierung die günstigere Option, nicht nur die beeindruckende.“
Aus Token-Kosten, Erfolgsquoten und dem CWI ließe sich abschätzen, wie kosteneffizient autonome Angriffe sind. Ein Faktor fehle jedoch: die Unauffälligkeit. „Die heutigen Modelle sind extrem laut“, sagt Waisman. Sie seien nicht auf Zurückhaltung gebaut worden, und Lärm bedeute in offensiven Operationen frühe Entdeckung – das lasse Angreifer zögern, einen Agenten auf ein reales Ziel loszulassen.
Entscheidend sei ohnehin weniger das Modell als die Einbettung. XBOW fand mit handelsüblichen Modellen, eigenen Rahmenwerken und menschlicher Expertise sechs Schwachstellen in Googles Chrome und formte daraus zwei Angriffsketten. „Das Spitzenmodell war nicht unser Unterschied – wir hatten kein besonderes“, so Waisman. „Das Rahmenwerk und die Leute waren der Unterschied.“
Als langfristige Strategie empfiehlt Waisman, kritische Werte zu kennen und vor unbefugtem Zugriff zu schützen. Gepatcht werden solle weiter, doch Schwachstellen seien nicht mehr die Maßeinheit der Arbeit, weil sie jeder habe und niemand sie schnell genug schließen könne. „Auf Eindämmung auslegen“, sagt er, und jeden automatisierbaren Verteidigungsschritt von der Erkennungsentwicklung über die Triage bis zur Vorfallreaktion mit KI automatisieren – eine Verteidigung im Menschentempo gegen einen Angriff im Maschinentempo verliere allein rechnerisch.
Kurzfristig rät Medairy zu asymmetrischen Verteidigungsansätzen. Booz Allen setzt dazu auf ein Verfahren namens Guile, das falsche Fährten und Sackgassen auslegt. Menschliche Angreifer fielen darauf selten herein, KI-Modelle jedoch in über 90 Prozent der Fälle. „Es kann einen Agenten schlagen, aber keinen Menschen“, sagt Medairy. Technik und Prozesse seien gegen menschliche Angreifer entwickelt worden – nun kämpfe man gegen Maschinen.