Auch Cobalts State of Pentesting 2026 zeichnet ein ungünstiges Bild: Die mittlere Zeit bis zur Behebung eines Hochrisiko-Befunds liegt bei 39 Tagen, zwischen den besten und den schlechtesten Organisationen klafft dabei ein Faktor von 25. Wer auf einer 43-Tage-Uhr gegen einen Gegner antritt, der in fünf Tagen handelt, steuert dieses Risiko nicht mehr, sondern dokumentiert es im Nachhinein.
Künstliche Intelligenz hat das Modell der punktuellen Momentaufnahme auf beiden Seiten aufgebrochen. Angreifer finden und bewaffnen Schwachstellen schneller, während die eigenen Entwicklungsteams mit KI-Unterstützung Code schneller ausliefern, als ein menschliches Testteam ihn prüfen kann. Laut Cobalt weisen KI- und LLM-Anwendungen Hochrisiko-Befunde in 2,7-facher Rate gegenüber klassischen Anwendungen auf. Eine Prüfung einmal im Jahr, die ein Zehntel des Bestands abdeckt und Wochen später ausgeliefert wird, ist genau die Lücke, die agentisches Pentesting schließen soll.
Der Leitfaden illustriert den Unterschied an einer verbreiteten Angriffskette: einer IDOR-Schwachstelle im authentifizierten Kundenbereich. Ein Angreifer meldet sich mit einem gewöhnlichen Konto an, ändert die account_id in einer Profilaktualisierung und stellt fest, dass die Anwendung die Eigentümerschaft nie prüft. Anschließend zählt er IDs in großem Stil durch, überschreibt fremde E-Mail-Adressen, stößt Passwort-Zurücksetzungen an und übernimmt fremde Konten vollständig – ohne CVE, ohne fehlerhafte Eingabe, allein durch falsch umgesetzte Geschäftslogik. Dieselbe Fehlerklasse legte 2019 bei First American Financial 885 Millionen Hypotheken- und Eigentumsdatensätze offen: Eine geänderte Ziffer im Dokumentenlink genügte, um fremde Akten einzusehen.
Als typisches Scheitermuster der Produktkategorie benennt der Leitfaden DAST mit angeflanschtem LLM – darunter dieselbe feste Liste an Payloads, darüber eine nicht deterministische Abdeckung. Entscheidend sei die Architektur, nicht die Wahl des Modells. „80 Prozent Abdeckung reichen nicht mehr, denn Angreifer brauchen nur die eine Lücke, die man übersehen hat“, sagt Ysrael Gurt, CTO und Mitgründer von Reflectiz.
Ein agentisches Pentesting-Werkzeug ist zugleich eine risikomindernde Maßnahme und ein autonomes KI-System, das gegen die eigene Umgebung läuft. Die Governance-Checkliste des Leitfadens listet auf, was vor dem ersten autorisierten Durchlauf feststehen muss: eine ausdrückliche und widerrufbare Eingrenzung des Prüfumfangs, Leitplanken für den möglichen Wirkungsradius samt sofortigem sicherem Stopp, Datenisolierung ohne jeden Zugriff auf Infrastruktur mit Kundendaten, ein vollständig exportierbarer Prüfpfad, definierte menschliche Aufsicht sowie Zusicherungen des Anbieters. Der Test ist simpel: Wer nicht beantworten kann, was ein Agent der Produktion schlimmstenfalls antun kann und was ihn daran hindert, sollte keinen Durchlauf freigeben.
Zur Kostenseite verweist eine Reflectiz-Analyse veröffentlichter Anbieterpreise auf durchschnittlich rund 18.300 US-Dollar je manueller Beauftragung – vor den üblichen Überschreitungen von 30 bis 50 Prozent. Ein ausgereiftes Programm gibt jährlich über 150.000 US-Dollar aus und testet damit geschätzt 5 bis 10 Prozent der Assets. Agentische Plattformen berichten dagegen von bis zu zehnfacher Testkapazität zum Preis einer manuellen Beauftragung.
Hinzu kommt eine Compliance-Dividende: Kontinuierliche, dokumentierte Tests liefern die Nachweise für die Klauseln „nach wesentlichen Änderungen“ in PCI DSS 4.0.1, die jährliche Prüfungen strukturell nicht erbringen können, und lassen sich auf Kontroll- und Nachweistätigkeiten unter DORA, NIS2, SOC 2, ISO 27001, Artikel 32 DSGVO und HIPAA abbilden. Jeder Durchlauf erzeugt ein eigenes Nachweispaket aus Abdeckungsmatrix, validierten Befunden mit Reproduktionsschritten und abfragbarer Trendauswertung.