Agentisches Pentesting zielt auf das 5-Tage-Exploit-Fenster

Agentisches Pentesting, die Praxis, autonome Software-Agenten auf Websites und Anwendungen anzusetzen, um nach Sicherheitsschwachstellen zu suchen, ist Gegenstand eines neuen Leitfadens für Sicherheitsverantwortliche, und seine Argumentation stützt sich auf eine Lücke, die durch Daten Dritter schwer zu ignorieren ist. Die Ausnutzung bekannter Schwachstellen startet jetzt 31 Prozent der Sicherheitsverletzungen, laut dem Data Breach Investigations Report 2026 von Verizon, was es zur häufigsten Methode macht, mit der Angreifer eindringen, während die durchschnittliche Organisation immer noch 43 Tage braucht, um eine bereits ausgenutzte Schwachstelle zu patchen.

Der Verizon-Bericht 2026, der auf mehr als 22.000 bestätigten Sicherheitsverletzungen basiert, markiert, was der Leitfaden einen Wendepunkt nennt: Die Ausnutzung von Schwachstellen hat gestohlene Anmeldedaten als führenden initialen Zugriffsvektor überholt. Derselbe Bericht zeigt, dass die Behebung sich in die falsche Richtung bewegt. Die mediane Zeit zum Patchen einer bekannten ausgenutzten Schwachstelle stieg von 32 Tagen auf 43 Tage, und der Anteil der Schwachstellen im CISA KEV-Katalog (der Liste der US-Cybersecurity and Infrastructure Security Agency von Schwachstellen, die bekanntermaßen in freier Wildbahn ausgenutzt werden), die Organisationen tatsächlich patchten, fiel von 38 Prozent auf 26 Prozent. Google Mandiant-Telemetrie, die im Leitfaden zitiert wird, setzt die durchschnittliche Zeit bis zur Ausnutzung auf etwa fünf Tage, während Cobalts State of Pentesting 2026 die mediane Zeit zur Behebung eines Hochrisiko-Fundes auf 39 Tage setzt, mit einer 25-fachen Lücke zwischen den besten und schlechtesten Performern. Ein Verteidiger, der mit einer 43-Tage-Uhr gegen einen Angreifer arbeitet, der sich in fünf Tagen bewegt, verwaltet Risiken nicht so sehr, als dass er sie im Nachhinein dokumentiert, argumentiert der Leitfaden.

Der Leitfaden weist auch auf künstliche Intelligenz hin, die von beiden Seiten drückt. Angreifer nutzen KI, um Schwachstellen schneller zu finden und zu weaponisieren, während Entwicklungsteams KI nutzen, um Code schneller auszuliefern, als jede menschliche Testanstrengung mithalten kann. Cobalts Forschung, zitiert im Leitfaden, ergab, dass KI- und Large-Language-Model-Anwendungen Hochrisiko-Funde mit 2,7-mal höherer Rate aufweisen als traditionelle Anwendungen. Der Leitfaden schätzt, dass jährliches Penetrationstesting etwa 90 Prozent des Bestands einer Organisation ungetestet lässt: eine Momentaufnahme, die einmal im Jahr gemacht wird, einen Bruchteil der Oberfläche abdeckt und Wochen zu spät geliefert wird.

Die Argumentation, dass automatisierte Agenten diese Arbeit tatsächlich leisten können, stützt sich auf Ergebnisse, die der Leitfaden anderen zuschreibt. Ein autonomes System von XBOW führte 2025 die US-Bestenliste von HackerOne an, und peer-reviewte Forschung von Fang et al. aus dem Jahr 2024 ergab, dass Agenten 87 Prozent der frisch offengelegten (sogenannten One-Day-)Schwachstellen ohne Hilfe ausnutzten. Cobalts State of Pentesting 2026 wird für die Behauptung zitiert, dass programmatisches Testen Teams 4,5-mal wahrscheinlicher kritische Funde innerhalb von drei Tagen beheben lässt.

Der Leitfaden geht eine einzelne Angriffskette durch, um zu zeigen, wo bestehende Tools versagen: eine unsichere direkte Objektreferenz, oder IDOR, in einem eingeloggten Konto-Bereich. Eine IDOR ist eine Schwachstelle, bei der eine Website einen Datensatz einfach deshalb herausgibt, weil jemand danach gefragt hat, ohne zu prüfen, ob die anfragende Person dessen Eigentümer ist. Im Beispiel meldet sich ein Angreifer mit einem gewöhnlichen Konto an, ändert den account_id-Wert in einer Profilaktualisierungsanfrage und stellt fest, dass die Anwendung niemals den Eigentümer verifiziert. Der Angreifer zählt dann IDs in großem Umfang auf, schreibt die E-Mail-Adressen anderer Benutzer um, löst Passwort-Zurücksetzungen aus und übernimmt Konten. Es gibt keine CVE (ein öffentlicher Katalogeintrag für eine bekannte Software-Schwachstelle) und keine fehlerhafte Eingabe, nur Geschäftslogik, die die Anwendung falsch umgesetzt hat. Der Leitfaden merkt an, dass genau diese Fehlerklasse 2019 885 Millionen Hypotheken- und Grundbuchdaten bei First American Financial offenlegte, wo das Ändern einer Ziffer in einem Dokumentlink die Datei eines anderen offenbarte.

Gegen dieselbe Kette beschreibt der Leitfaden vier Ergebnisse. Ein Scanner, der Antworten mit einer CVE-Datenbank abgleicht, findet nichts, weil es keine CVE für die eigene Logik einer Anwendung gibt. Ein DAST-Tool (Dynamic Application Security Testing, das eine feste Liste von Angriffsmustern auf eine Website abfeuert) verpasst es ebenfalls, weil der Exploit eine gültige Sitzung und eine mehrstufige Sequenz erfordert, die keine Payload-Liste enthält. Ein menschlicher Tester findet es nur, wenn dieser Endpunkt zufällig in die beprobten 5 bis 10 Prozent des Bestands fällt, und der Fund veraltet bei der nächsten Veröffentlichung. Ein agentisches System, so die Darstellung des Leitfadens, kartiert den Endpunkt, leitet die Eigentumsbeziehung ab und verkettet Aufzählung zu E-Mail-Umschreibung zu Passwort-Zurücksetzung, und überprüft dann dieses Arbeitselement bei jedem Durchlauf erneut.

Der Leitfaden trennt echte Plattformen von Demonstrationen in drei architektonischen Entscheidungen. Die erste ist arbeitsitemdurchgesetzte Abdeckung: Wenn die KI entscheidet, was getestet wird, wird die Abdeckung unbeweisbar, weil ein Modell zu interessanten Funden driftet und den Rest stillschweigend überspringt, also sollte eine vollständige Testmatrix im Voraus generiert werden, wobei jeder Endpunkt gegen jede anwendbare Angriffskategorie als nicht überspringbare Elemente getestet wird. Die KI kann adaptiv darin sein, wie sie jedes Element angreift, niemals darin, ob sie es tut. Die zweite ist ein unabhängiger Validator-Agent, sodass ein Fund erst dann in den Bericht gelangt, nachdem ein separater Agent ihn reproduziert hat, wodurch die Entfernung von Fehlalarmen aus der Triage-Warteschlange des Kunden verlagert wird. Die dritte ist ein browser-nativer Agent: Die meisten agentischen Tools sind, in den Worten des Leitfadens, effektiv curl mit einem angehängten Modell, und echte Websites mit dynamischem Rendering, Einmal-Passcodes, Multi-Faktor-Authentifizierung (ein zweiter Identitätsnachweis über ein Passwort hinaus) und Anti-Bot-Verteidigungen brechen sie. "80 % Abdeckung ist nicht mehr gut genug, weil Angreifer nur die eine Lücke brauchen, die Sie übersehen haben", sagte Ysrael Gurt, CTO und Mitbegründer von Reflectiz, im Leitfaden.

Da das Tool ein autonomes System ist, das in der Produktion läuft, behandelt der Leitfaden Governance als Vorbedingung statt als Nachgedanken. Seine Checkliste fordert explizite und widerrufbare Scoping, Blast-Radius-Schutzmaßnahmen mit sofortigem sicheren Stopp, Datenisolierung ohne Zugriff auf Kunden-Dateninfrastruktur, einen vollständigen exportierbaren Audit-Trail, definierte menschliche Aufsicht und Anbieterzusicherung. Der Test, den der Leitfaden vorschlägt, ist unverblümt: Wenn Sie nicht beantworten können, was das Schlimmste ist, was der Agent der Produktion antun könnte, und was ihn davon abhält, sind Sie nicht bereit, einen Lauf zu autorisieren.

Die Wirtschaftlichkeit wird als für die Einführung sprechend dargestellt. Ein manuelles Engagement kostet durchschnittlich etwa 18.300 Dollar vor einer üblichen Überschreitung von 30 bis 50 Prozent, und ein ausgereiftes Programm gibt immer noch mehr als 150.000 Dollar pro Jahr aus, um geschätzte 5 bis 10 Prozent seiner Assets zu testen, Zahlen, die der Leitfaden einer Reflectiz-Kostenanalyse veröffentlichter Anbieterpreise zuschreibt. Dagegen berichten Anbieter in der Kategorie von bis zu 10-facher Testkapazität für die Kosten eines manuellen Engagements, und IBMs Zahl für 2025 für die durchschnittliche Sicherheitsverletzung liegt bei 4,44 Millionen Dollar. Diese Kapazitätsvielfachen sind anbieterberichtete Behauptungen, keine unabhängig gemessenen Ergebnisse.

Der Leitfaden stellt kontinuierliches Testen auch als Compliance-Dividende dar. Er argumentiert, dass dokumentiertes, wiederholtes Testen die Beweise liefert, die für die "nach wesentlicher Änderung"-Klauseln in PCI DSS 4.0.1 benötigt werden, was jährliches Testen von Natur aus nicht kann, und auf Kontroll- und Zusicherungsarbeit unter DORA, NIS2, SOC 2, ISO 27001, GDPR Artikel 32 und HIPAA abbildet. Jeder Lauf soll sein eigenes Evidenzpaket generieren, das eine Abdeckungsmatrix, validierte Funde mit Reproduktionsschritten und Trendberichte abdeckt, die Prüfer abfragen können.

Es lohnt sich, klar zu sein, was dieses Dokument ist. The Hacker News kennzeichnet den Beitrag als eingereichten Artikel eines seiner Partner, und die zitierte Person und die zitierte Kostenanalyse stammen beide von Reflectiz, einem Anbieter im Web-Sicherheitsbereich. Die darin enthaltenen Statistiken stammen von genannten Dritten (Verizon, Mandiant, Cobalt, IBM und Fang et al.), während die Rahmung, die Bewertungskriterien und die Anbieterlandschaft den Autoren des Leitfadens gehören. Leser sollten seine Vergleiche als Argument einer interessierten Partei behandeln, die zugrunde liegenden Berichte prüfen, wo sie können, und jeden Anbieter an den obigen Governance-Fragen messen. Für Website-Betreiber, die externe Hilfe bei der Anwendung dieser Art von Disziplin auf ihren eigenen Web-Bestand wünschen, bietet AEU-I (https://aeu-i.com) sicherheitsorientierte IT-, Infrastruktur- und Beratungsdienste an, und der Umfang dessen, was es abdeckt, ist auf seiner Website klar dargelegt.

Die praktische Erkenntnis für jeden, der eine Website betreibt, dreht sich weniger um den Kauf eines Tools als um das Schließen von Zeit. Zwei Dinge entscheiden, ob eine Schwachstelle zu einem Vorfall wird: wie viel Ihrer Website tatsächlich getestet wird, einschließlich der Teile hinter einem Login, und wie viele Tage zwischen der Verfügbarkeit eines Fixes und seiner Anwendung vergehen. Die Kernbehauptung des Leitfadens ist, dass die zweite Zahl, durchschnittlich 43 Tage, diejenige ist, auf die Angreifer zählen.