Eine neue Forschungsarbeit der arXiv-Plattform adressiert ein grundlegendes Problem in der Bewertung von Large Language Model (LLM) Agenten für Penetration Testing. Bislang wurden solche Systeme fast ausschließlich nach ihrer "Capability" bewertet – also danach, ob sie einen Flag erfolgreich abgreifen oder einen Proof of Concept reproduzieren können. Doch diese Metrik ist für praktische Einsätze unzureichend.

Die Forschung definiert nun fünf konkrete Assurance-Eigenschaften, die nicht im Modell selbst, sondern in dessen Runtime-Umgebung (dem "Harness") durchgesetzt werden müssen:

1. Evidence Grounding: Jeder gemeldete Fund muss mit konkreten Belegen unterlegt sein – nicht bloße Behauptungen, sondern nachvollziehbare Nachweise.

2. Non-Destructive Claim Reduction: Das System darf nicht einfach alles melden, was es findet, sondern muss Befunde deduplizieren und nur valide Erkenntnisse weitergeben.

3. Computed Severity: Jede Schwachstelle erhält ein automatisch berechnetes Risikorating, basierend auf reproduzierbaren Kriterien.

4. Enforced Authorization: Der Agent operiert nur im autorisierten Scope und darf diesen nicht überschreiten – diese Grenze wird durch Code im Harness durchgesetzt, nicht durch Modell-Vertrauen.

5. Tamper Evident Accountability: Eine manipulationssichere Audit-Trail dokumentiert jede Aktion, sodass Operatoren nachvollziehen können, was der Agent getan hat.

Die Arbeit untersucht vier repräsentative Systeme: PentestGPT, das Cochise Reference Harness, MAPTA und den PentestJudge. Sie positioniert diese im neuen Framework und identifiziert dabei ein systematisches Assurance-Defizit über alle untersuchten Systeme hinweg. Der Fokus liegt auf NeuroSploit, einer Open-Source-Implementierung, die gegen ein absichtlich verwundbares öffentliches Ziel getestet wurde. Die Studie dokumentiert Architektur, Komplexitätskosten und führt die Acceptance-Tests für Autorisierung und Audit durch. Dabei offenbarten sich echte Enforcement-Gaps – sowohl Authorization als auch Accountability wurden daher als "partial" bewertet.

Die Arbeit betont ausdrücklich, dass es um einen "existence argument" geht, nicht um einen Performance-Vergleich: Es soll gezeigt werden, dass alle fünf Eigenschaften zusammen realisierbar sind. Für die Zukunft wird ein Multi-Target-, Ablation- und Adversarial-Evaluierungsprotokoll spezifiziert, um die Framework-Verpflichtungen in messbare Metriken zu überführen.

Einordnung

Das Problem, das diese Forschung adressiert, liegt in der bisherigen Praxis von LLM-Sicherheitstests: Die Industrie bewertet Agenten nach Capability-Metriken, die aus der Benchmark-Forschung stammen. Ein Agent, der einen CTF-Flag stiehlt oder eine bekannte Exploit-Chain reproduziert, gilt als erfolgreich – unabhängig davon, ob die Ergebnisse reliable sind, ob der Agent die Scope-Grenzen einhielt oder ob das Vorgehen auditierbar ist.

Für autorisierte Penetration-Tests ist diese Sichtweise unzureichend. Ein echtes Engagement hat juristische und haftungsrechtliche Konsequenzen. Wenn ein Agent fälschlicherweise eine Schwachstelle meldet oder Systems außerhalb des Scopes attackiert, können daraus erhebliche Schäden entstehen. Deshalb ist nicht die reine Fähigkeit des Modells das kritische Maßstab, sondern die kontrollerbare und nachvollziehbare Ausführung im operativen Umfeld.

Die Vorgeschichte dieser Problematik reicht in etablierte Sicherheits-Paradigmen zurück: Capability-based Security ist seit den 1980ern bekannt, Tamper-Evident Logging ist ein Standard in kritischen Systemen, und Software Provenance wird zunehmend reguliert. Die Forschung überträgt diese bewährten Konzepte nun explizit auf autonome LLM-Agenten im Penetration Testing.

Dass die Untersuchung vier etablierte Systeme analysiert und bei allen ein konsistentes Assurance-Gap findet, zeigt: Dies ist kein akademisches Gedankenexperiment, sondern ein reales Problem im aktuellen Stand der Technik. Keines der untersuchten Systeme erfüllt alle fünf Eigenschaften vollständig. Das hat Auswirkungen auf die Frage, in welchen Szenarien solche Agenten überhaupt produktiv eingesetzt werden können – nämlich nur dort, wo die jeweiligen Assurance-Lücken akzeptabel sind.

Was das bedeutet

Der konkrete Take-Away: Assurance ist nicht optional, sondern muss in die Architektur des Harness von Anfang an eingeplant werden – nicht als nachgelagerte Sicherheitsmaßnahme, sondern als grundlegender Entwurfsprinzip. Das bedeutet für jeden, der mit autonomen Sicherheits-Agenten arbeitet, einen Paradigmenwechsel: Statt sich auf die Capability des Modells zu verlassen, müssen die technischen und organisatorischen Rahmenbedingungen der Ausführung so gestaltet werden, dass Fehler und Abweichungen technisch unmöglich oder sofort erkannt werden.

Für Organisationen bedeutet das, dass sie nicht einfach ein LLM-Modell nehmen, es mit Pentesting-Tools ausstatten und hoffen, dass die Ergebnisse brauchbar sind. Stattdessen müssen sie in einen Harness investieren, der Evidence einfordert, Severity berechnet, Autorisierung durchsetzt und Accountability garantiert. Das ist aufwändiger als reine Capability – aber es ist auch das, was rechtlich und sicherheitstechnisch haltbar ist.

Die Arbeit signalisiert damit eine kommende Professionalisierungsstufe in der Anwendung von LLM-Agenten in kritischen Sicherheitskontexten. Wer in diesem Feld arbeitet, wird sich künftig damit auseinandersetzen müssen, ob und wie die eigenen Systeme die fünf Assurance-Eigenschaften erfüllen.