KI-Modelle finden und exploitieren Sicherheitslücken
Claude und Gemini 4 Carbon nutzen KI, um komplexe Sicherheitslücken zu finden und zu chainern. Google meldet 88,2% auf SEC-bench Pro.
Zwei frontier AI-Modelle setzen neue Maßstäbe bei der Detektion und Ausnutzung von Sicherheitslücken: Anthropics Claude und Googles neu vorgestelltes Gemini 4 Carbon. Laut Dark Reading hat eine unreleased Version des Claude-Modells bereits mehrere Schwachstellen in Chrome, Safari, Android, Windows und Linux gefunden und verkettetet. Google hingegen hat seinen neuen Frontier-AI-Modell Gemini 4 Carbon veröffentlicht, der laut Help Net Security sein Vorgänger-Modell Argon übertrumpft und speziell für Software-Engineering und Cybersecurity-Aufgaben entwickelt wurde.
Die Leistungsmetriken unterstreichen diese Entwicklung deutlich. Nach SecurityWeek erreichte Gemini 4 Carbon einen Score von 88,2 Prozent auf SEC-bench Pro, dem Benchmark für Vulnerability-Detection und Exploitation. Wie The Hacker News berichtet, zeigt das Modell dabei „significant gains across coding and agent capabilities" — es schafft also nicht nur, Schwachstellen zu identifizieren, sondern auch, sie auszunutzen und Patches vorzuschlagen. Heise Security meldet zudem, dass Google sein Sprachmodell Argon erst vor vier Wochen freigegeben hat und bereits mit Carbon ein neues Spitzenmodell nachgelegt. Carbon bringt dabei denselben Security-Stack wie Argon mit, erweitert ihn aber um spezialisierte Fähigkeiten für Exploit-Generierung.
Der Rollout folgt dabei kontrollierten Strukturen: Google startet die Verfügbarkeit zunächst über das sogenannte Fairwind Program, das nur verifizierten Cyber-Defendern Zugang bietet. Dies deutet darauf hin, dass die Entwickler das Missbrauchspotenzial bewusst ernst nehmen. Nichtsdestotrotz markiert diese Welle neuer Modelle eine Wende: Was früher Sicherheitsexperten Tage oder Wochen kostete, können spezialisierte KI-Systeme nun in Minuten leisten.
Warum das für DACH relevant ist
Im deutschsprachigen Raum mit seiner strengeren Datenschutz- und Sicherheitsgesetzgebung hat diese Entwicklung mehrere unmittelbare Implikationen. Die DSGVO verpflichtet Unternehmen zu angemessenen technischen und organisatorischen Maßnahmen; eine der Pflichten ist, Sicherheitslücken systematisch zu erkennen und zu beheben. KI-Systeme wie Gemini 4 Carbon können diese Prozesse automatisieren und beschleunigen — ein klarer Vorteil für mittelständische Betriebe, denen oft die Ressourcen für händisches Penetration Testing fehlen.
Gleichzeitig verschärft sich damit auch die Anforderung an Sicherheitsarchitektur. Ein Unternehmen, das seine Systeme nicht selbst mit solchen KI-Tools prüft, muss damit rechnen, dass Attackers es früher oder später tun. Die EU-AI-Act, der ab 2025 schrittweise greift, wird solche Systeme zur Sicherheits-Prüfung vermutlich als High-Risk klassifizieren — mit allen Konsequenzen für Dokumentation, Zertifizierung und Liability. Im KI-Pentesting Kontext ergibt sich daraus eine neue Realität: Unternehmen können nicht mehr nur auf traditionelle Sicherheitsauditoren setzen.
Besonders relevant für deutsche und österreichische Regelwerk-Umgebungen ist auch die Frage nach der Verantwortlichkeit. Wenn ein KI-Modell Schwachstellen findet, aber Patches falsch vorschlägt, haftet der Betreiber des Modells oder der Unternehmer, der es einsetzt? Hier entsteht eine Regelungslücke, die das BSI und ähnliche Institutionen noch klären müssen. Zugleich bietet sich für Firmen, die proaktiv handeln, ein Vorteil: Sie können ihre Sicherheitslage schneller und umfassender verbessern als Konkurrenten, die noch auf manuelle Audits warten.
Was du jetzt tun/wissen solltest
Der konkrete Handlungsimpuls liegt darin, dass automatisierte Vulnerability-Detection mittlerweile Standard wird. Wer als Unternehmen oder Security-Team mit Sicherheit befasst ist, sollte sich bewusst machen: Die nächste Generation von Angriffen wird denselben KI-Stack nutzen, den Google und Anthropic gerade offenlegen. Das bedeutet nicht, in Panik zu verfallen, sondern strategisch zu handeln. Der erste Schritt besteht darin, ein internes Audit-Programm zu etablieren, das KI-gestützte Tools nutzt — nicht um Menschen zu ersetzen, sondern um sie zu verstärken. Wie in der Google Gemini 4 Carbon für Cyber-Defence bereits dokumentiert, profitieren Security-Teams am meisten, wenn sie KI als Partner nutzen, der Hypothesen schnell validiert und die manuellen Expert-Stunden auf echte Logik-Arbeit konzentriert.
Für Mittelständler im DACH-Raum ergibt sich daraus eine weitere Konsequenz: Pentesting und Security Assessments werden billiger, aber auch standardisierter und damit angreifbar durch organisierte Attackers. Die Investition in Detektions-Infrastruktur und schnelle Patch-Prozesse zahlt sich jetzt unmittelbarer aus als je zuvor.
Quellen
Häufige Fragen
Was kann Gemini 4 Carbon bei Sicherheitslücken besser als Vorgänger-Modelle?
Gemini 4 Carbon erreicht 88,2 Prozent auf dem SEC-bench Pro Benchmark und kann nicht nur Schwachstellen finden, sondern auch Exploits generieren und Patches vorschlagen. Google hat das Modell speziell für Software-Engineering und Cybersecurity-Aufgaben entwickelt und zunächst über das Fairwind Program nur verifizierten Cyber-Defendern zugänglich gemacht.
Welche Sicherheitslücken hat Claude-Modell bereits gefunden?
Eine unreleased Version des Claude-Modells hat laut Dark Reading mehrere Schwachstellen in Chrome, Safari, Android, Windows und Linux gefunden und verkettetet. Die Fähigkeit, mehrere Lücken zu kombinieren, zeigt, dass die KI-Modelle auch komplexere Exploit-Szenarien entwickeln können.
Warum ist das für deutsche Unternehmen relevant?
Die DSGVO verpflichtet Unternehmen zu systematischen Sicherheits-Checks, und KI-gestützte Vulnerability-Detection kann diese Prozesse beschleunigen. Zugleich werden Attackers denselbe KI-Technologie nutzen — wer nicht selbst proaktiv prüft, wird leichter zum Ziel.