Sicherheit bleibt bei AI-Deployment auf der Strecke
Die 2026 State of AI Security Report von Orca Security offenbart ein kritisches Problem: Organisationen deployen AI in der Cloud, ohne dabei auf grundlegende Cybersecurity-Standards zu achten. Der Grund ist oft derselbe – Speed geht vor Security.
Die Zahlen sind alarmierend
Die Studie zeigt ein beunruhigendes Bild des aktuellen AI-Deployments:
- 81,2% der Unternehmen, die AI-Pakete betreiben, haben mindestens eine bekannte Schwachstelle
- 99,9% der behobenen AI-Vulnerabilities werden nicht gepatcht
- 56% der AI-Adopter haben Agent Frameworks bereits in Production deployed
- 51,5% nutzen AI zum Bauen von Custom Applications
Diese Zahlen deuten auf ein systematisches Problem hin: Vulnerabilities sind in den meisten Fällen bekannt und behebbar – werden aber nicht adressiert.
Das Speed-vs.-Security-Dilemma
Der zentrale Befund der Studie liegt in dem Zielkonflikt zwischen Deployment-Geschwindigkeit und Sicherheitspraktiken. Teams deployen AI-Systeme schnell in Production-Umgebungen, ohne vorher grundlegende Security-Checks durchzuführen. Das ist ein klassisches Hygiene-Problem: Patch-Management, Vulnerability Assessment und Compliance werden als zeitraubend empfunden und daher deprioritisiert.
Besonders problematisch ist die hohe Quote bei Agent Frameworks. Diese Systeme greifen oft auf externe APIs und Ressourcen zu – eine zusätzliche Angriffsfläche, die zusätzliche Aufmerksamkeit braucht.
Was bedeutet das praktisch?
Die Realität sieht so aus: Ein großer Teil der bekannten Sicherheitsprobleme in AI-Systemen könnte durch standardisierte Maßnahmen behoben werden – Patching, Vulnerability Scanning, Access Controls. Stattdessen bleiben diese Lücken offen.
Für Organisationen bedeutet das ein konstantes Risiko. Agent Frameworks und Custom Applications sind oft nicht gut dokumentiert, ihre Abhängigkeiten nicht vollständig inventarisiert. Das macht es schwer, den Überblick zu behalten.
Der Weg nach vorne
Die Studie macht deutlich: Es braucht nicht komplexe neue Security-Technologien, sondern die konsistente Anwendung von Best Practices. Dazu gehören:
- Regelmäßige Vulnerability Scans vor und nach Deployment
- Patch-Management-Prozesse, die auch für AI-Systeme gelten
- Inventarisierung aller Dependencies
- Security als integraler Teil des Development-Prozesses, nicht als Nachgedanke
Die Diskrepanz zwischen bekannten Problemen und Patch-Raten ist kein technisches, sondern ein Organisations-Problem. Solange Speed vor Security prioritärt wird, wird sich diese Quote nicht wesentlich verbessern.