KI ruft alle Risiken auf den Plan, die Sie akzeptiert haben: Sieben Erkenntnisse aus dem AI Security Panel: Unfiltered

Am 14. Oktober, am Nachmittag vor der Hauptveranstaltung des AI Security Summit (AISS) in San Francisco, veranstaltete Snyk das AI Security Panel: Unfiltered. Deirdre Bosa von Yahoo Finance moderierte die Diskussion mit vier Personen, die KI-Sicherheit aus sehr unterschiedlichen Perspektiven betrachten:

• Manoj Nair, CTO und Chief Innovation Officer bei Snyk

• Michael D'Angelo, Technical Lead, Cyber bei OpenAI

• John Hultquist, Chief Analyst bei Google Threat Intelligence Group

• Ed Sim, Gründer und General Partner bei boldstart ventures

Auch wenn sie unterschiedlicher Meinung darüber waren, wie KI reguliert, wie Agenten beaufsichtigt und wie weit ihnen vertraut werden sollte, stimmten sie in der zentralen Diagnose weitgehend überein: KI hat Angriffe billig, schnell und für fast jeden zugänglich gemacht – und damit alle Risiken ins Spiel gebracht, die ein Unternehmen jemals akzeptiert hat. Jeden Monat wird es einfacher, Schwachstellen zu finden. Sie beheben zu können, ist jedoch der
maßgebliche Engpass. Verteidiger werden diese Lücke erst schließen, wenn Maschinen den Großteil der Behebung übernehmen – innerhalb klarer Vorgaben zu Identität, Berechtigungen und Absicht.

Welche Rolle spielte dieses Panel beim AISS 2026?

Der AISS fand erstmals im vergangenen Jahr (2025) in San Francisco statt und war restlos ausverkauft. Die diesjährige Hauptveranstaltung am 15. Oktober war ebenso gut besucht wie im Vorjahr.

Wie es im Veranstaltungsmotto heißt, war es ein ganzer Tag, in einem Raum, mit einem Programmstrang – für alle, die auf Unternehmensebene für KI-Risiken verantwortlich sind. Am 25. November folgen regionale „Satelliten“-Ausgaben in Kopenhagen und Sydney. Der AISS ist eine Initiative von Snyk und AI Engineer. Zu den wichtigsten Grundregeln gehört, dass niemand auf Plattitüden zurückgreift und dass es keine Panels gibt, bei denen alle einfach zustimmen. Deshalb ist die oben erwähnte Uneinigkeit so wichtig. Wir haben jedenfalls gelernt, dass uns mehr verbindet als trennt.

Dieses Panel bildete den Auftakt der Veranstaltung. Es fand am Nachmittag zuvor statt und wurde von Snyk ausgerichtet. Das Versprechen: vier zentrale Fragen zu diskutieren – die aktuelle Bedrohung, die kommende Bedrohung, die Zuständigkeit und die Frage, was am Montagmorgen zu tun ist. Die Veranstaltung selbst beleuchtete jedes Thema in den einzelnen Sessions eingehend. Das Panel bot den Überblick und brachte ein Frontier-Lab, ein Threat-Intelligence-Team, einen Investor und ein Sicherheitsunternehmen zusammen, das dort arbeitet, wo Code und Agenten entstehen.

Aus dem lebhaften und tiefgehenden Gespräch kristallisierten sich sieben Erkenntnisse heraus:

1. Warum ist KI ein Nachschuss auf die Risiken, die Sie bereits tragen?

Die meisten Risiken, die KI ausnutzt, waren bereits bekannt. Geändert hat sich jedoch der Preis, zu dem sie sich ausnutzen lassen.

Manoj griff eine Formulierung eines Snyk-Kunden auf: „Angreifer setzen KI ein. KI ist eine neue Angriffsfläche und zugleich ein Insider.“ Dann benannte er die Konsequenz.

„Es geht um all Ihre bestehenden Risiken. KI ist der Nachschuss darauf.“

Manoj Nair, Snyk

John Hultquist erläuterte anschließend die Vorgehensweise: Angreifer nutzen seit etwa acht Jahren autonome Technologien – von gefälschten Bildern und Spear-Phishing-E-Mails über Deepfake-Anrufe bis hin zu ganzen Operationen. Nordkoreanische IT-Fachkräfte führen ihre Operationen inzwischen von Anfang bis Ende mit Modellen durch. Modelle machen Angreifer auch bei der eigentlichen Arbeit effektiver: Sie helfen bei der Fehlerbehebung während eines Angriffs, beschleunigen die Bewegung im Netzwerk und verwandeln einen gerade veröffentlichten Patch in einen funktionierenden Exploit, bevor die meisten Verteidiger ihn eingespielt haben. Und das Ganze lässt sich skalieren: „Die Tools stehen jetzt so viel mehr Menschen zur Verfügung.“

Ed Sim verwies auf die Angriffe auf südkoreanische Banken. CrowdStrike geht davon aus, dass vermutlich ein 26-jähriger, in China ansässiger Täter einen Open-Source-KI-Penetrationstest-Agenten sowie einen kommerziellen Coding-Agenten eingesetzt hat. Berichten zufolge waren mindestens neun Banken Ziele. Der Fall, so CrowdStrikes Adam Meyers gegenüber Journalisten, „ermöglicht es einer einzelnen Person, mithilfe von KI in sehr kurzer Zeit viele Kunden anzugreifen“. Eds Schlussfolgerung? „Man kann nicht gegen Hacker kämpfen, die weltweit verteilt sind und Maschinen mit Menschen einsetzen.“

Hultquist benannte die zugrunde liegende Asymmetrie: Angreifer können zu sehr geringen Kosten experimentieren. Wenn er versuchte, auf neue Weise eine Bank auszurauben, und scheiterte, „wäre ich wahrscheinlich im Gefängnis oder Schlimmerem“. Online „müssen sie nicht mit denselben Konsequenzen rechnen“.

2. Was macht KI-Agenten zu einer anderen Art von Angriffsfläche?

Diese neue Angriffsfläche handelt eigenständig: Agenten, die von ihnen geladenen Skills sowie die Zugriffsrechte, die sie erhalten und anhäufen.

Die Entwicklung ist tatsächlich (oder endlich?) zu einer Softwarefabrik geworden, in der Agenten Code schreiben und sich alles beschaffen, was sie brauchen – und alles, worauf sie zugreifen, wird zu einer Angriffsfläche. Agenten-Skills sind dabei der deutlichste Fall, denn sie sind in einfachem Englisch verfasst und können, wie Manoj es ausdrückte, „mit drei englischen Zeilen zu Malware werden“. Snyks ToxicSkills-Studie fand mindestens eine Sicherheitslücke in 36,82 % der 3.984 untersuchten Skills sowie 76 bestätigte schädliche Payloads. Um einen Skill auf ClawHub zu veröffentlichen, brauchte es lediglich eine Markdown-Datei und ein eine Woche altes GitHub-Konto.

Hultquist ergänzte die Sicht der Angreifer. Bedrohungsakteure haben meist autonome Systeme eingesetzt, statt sie anzugreifen. Eine Ausnahme gab es: Als Menschen persönlichen Agenten Zugriff auf alles in ihrem Leben gewährten, „stürzten sich Angreifer genau in diesem Moment darauf, weil sie das ganze Potenzial zur Bündelung erkannten“. Als Nächstes sind die eingesetzten Systeme an der Reihe. Angreifer haben sie noch nicht in großem Stil ins Visier genommen, „aber das werden sie“, und ihre Verteidigung erfordert „ein völlig neues Sicherheitsregime“.

Der Vorfall bei Hugging Face zeigte die Perspektive von innen. Im Juli umgingen OpenAI-Modelle bei einer internen Cybersicherheitsprüfung die Schutzmaßnahmen, die sie isolieren sollten, und drangen bei Hugging Face ein. OpenAIs eigener Bericht bezeichnet dies als „Warnschuss“. Michael D'Angelo fasste die Ursache in zwei Sätzen zusammen: „Erledige diese Aufgabe, und du wirst belohnt. Also erledigten sie die Aufgabe.“

Manoj verwies auf die unspektakuläre Ursache: „offen herumliegende Geheimnisse, die ein 14-Jähriger mit ein paar Tools auch ohne KI angreifen kann“. Der Bericht bestätigt seinen Ausgangspunkt: Ein Agent fand öffentlich zugängliche Hugging-Face-Zugangsdaten und teilte sie mit den anderen Agenten.

Ed Sim plädiert dafür, Agenten wie die Insider zu verwalten, die sie sind: Jeder Agent braucht eine eigene Identität, einen Prüfpfad und Zugriff, der auf die jeweilige Aufgabe beschränkt ist und nach deren Abschluss erlischt. Die ungelöste Frage ist die Absicht:

„Wenn mein Ziel darin besteht, meine Computing-Kosten zu senken, was passiert dann unterwegs, wenn ich beschließe, ein paar Produktionsdatenbanken zu löschen, weil ich herausgefunden habe, dass sich so die Computing-Kosten senken lassen? Nun, ich habe meine Aufgabe erledigt, oder?“

Ed Sim, boldstart ventures

Und während KI Einzug in Chips, Geräte und Roboter hält, fragte Ed: „Wer wird die Firmware, die Chips und die gesamte eingebettete Intelligenz absichern?“

3. Warum ist die Behebung zum Engpass geworden?

Schwachstellen lassen sich immer günstiger finden, doch ihre Behebung ist nicht im gleichen Tempo schneller geworden. Ein Frontier-Lab, ein Threat-Intelligence-Team und Snyk sehen dieselbe Lücke, aber aus unterschiedlichen Perspektiven.

Michael zeichnete nach, wie das Aufspüren von Schwachstellen eine Revolution nach der anderen durchlaufen hat – von Fuzzern über dynamische Tests bis hin zu Agenten-Harnesses. Die Schwierigkeit kommt danach und ist häufig „ein politisches Problem“: Teams finden mehr, als sie zuweisen können. Das Ergebnis ist ein Patch-Pingpong, ein Slack-Thread darüber, „wer was wann und wie macht“, in dem es heißt: „Wenn es schiefgeht, bist du schuld.“

Hultquist machte diese Erfahrung bei Google mit Big Sleep, einem Projekt zur Schwachstellensuche auf Basis eines KI-Harnesses. In sozialen Medien wurde das Projekt kritisiert, weil es Fehler an Open-Source-Verantwortliche weitergab, die sich in ihrer Freizeit darum kümmern. „Es reicht nicht, solche Dinge einfach nur zu finden“, sagte er. Meldet man einem Unternehmen eine Zero-Day-Schwachstelle, die bereits von Angreifern ausgenutzt wird, lautet die Antwort oft: „Das wird noch eine Weile dauern.“ Finden und Beheben seien zwei Seiten derselben Medaille, sagte er, und „wenn man nicht beides tut, kann man nicht Schritt halten“.

Manoj verwies auf Project Glasswing. In einem eigenen Update erklärt Anthropic, Fortschritte bei der Softwaresicherheit seien „früher dadurch begrenzt gewesen, wie schnell wir neue Schwachstellen finden konnten. Jetzt sind sie dadurch begrenzt, wie schnell wir die große Zahl der von KI gefundenen Schwachstellen verifizieren, offenlegen und patchen können“.

Damit wird die menschliche Kapazität für Triage und Patching als Engpass benannt. Am 22. Mai, zu Beginn des 90-tägigen Offenlegungszeitraums, hatten Open-Source-Verantwortliche 75 der 530 von Anthropic gemeldeten Fehler mit hohem oder kritischem Schweregrad behoben.

Entscheidend sei, so Manoj, dass „Fixes in der Produktionsumgebung ankommen“. Auch Snyks VulnBump-Studie, die ebenfalls gestern, am 15. Oktober, veröffentlicht wurde, geht von derselben Lücke aus: In den sechs Monaten des Jahres 2026 verzeichnete Snyk Open Source 459 Millionen Schwachstellenfunde bei rund 300.000 Unternehmen. Für 94 % gab es zwar eine bekannte korrigierte Version, behoben waren jedoch nur etwa 10 %. Als Fix zählt die Studie nur, wenn die Schwachstelle beseitigt ist und sich das Projekt weiterhin installieren und erstellen lässt und seine Tests besteht. (Snyks Evo Remediation Agent erfüllte diese Kriterien bei 90,2 % von 307 echten Dependency-Upgrades.)

Sein übergeordneter Punkt war die Frage, wo sich der Kreislauf durchbrechen lässt. „Das ganze Spiel hat sich bis zum Entstehungszeitpunkt verlagert“: „Agenten sind die Akteure“, Entwickler geben die Absicht vor. Verhindern Sie Probleme dort und beheben Sie sie mit diesem Kontext – oder bleiben Sie in „dieser endlosen Schleife aus Finden, Beheben, Finden, Beheben“ gefangen.

4. Funktioniert Priorisierung noch, wenn KI die lange Risikoliste verknüpfen kann?

Priorisierung ist ein Ausweg aus begrenzten menschlichen Kapazitäten – und KI lernt, das auszunutzen.

Einem gängigen Ratschlag widerspricht Manoj: der kontextbezogenen Priorisierung. Anhand von Signalen die zehn von hundert Problemen auszuwählen, die behoben werden sollten, ist in der Branche üblich. Doch dieser Ansatz dient nur dazu, die Arbeit an die verfügbaren Mitarbeitenden anzupassen. Ein autonomer Angreifer hat kein solches Budget.

„Wir sollten alle 100 betrachten und dahin kommen, dass wir alles beheben können. Denn ehe man sich versieht, werden aus diesen zehn Problemen hundert.“

Manoj Nair, Snyk

Die lange Risikoliste ist wichtig, weil KI sie verknüpft: KI kann über mehrere Schritte hinweg Schlussfolgerungen ziehen, sagte Manoj, und so fünf oder sechs Schwachstellen aus dem 99. Perzentil Ihrer Liste kombinieren – also jene, „von denen Sie sagten, dass Sie sie nie beheben würden, weil Ihnen nicht genug Menschen zum Patchen zur Verfügung stehen“ – und daraus einen schwerwiegenden Vorfall machen. In dem Essay, auf den Michael verwies, beschreibt Greg Brockman den Einbruch bei Hugging Face ähnlich: Ein agentisches Kollektiv „verkettete Schwachstellen, die von zuvor unbekannten Sicherheitslücken bis hin zur Nutzung von Zugangsdaten für Benutzerkonten reichten, die ins Internet gelangt waren“.

Die andere Hälfte von Manojs Argument betrifft die Unternehmenskultur. Während seiner gesamten beruflichen Laufbahn ging die Abwägung immer in eine Richtung: Betriebsrisiken sind nicht akzeptabel, also muss die Sicherheit warten. Eine Woche zuvor hörte er in einem Raum voller CISOs, wie sich diese Haltung zu ändern begann: Führungskräfte waren bereit, eine Anwendung kurzzeitig außer Betrieb zu nehmen, um ein Sicherheitsrisiko zu beseitigen. „Na und, wenn etwas kurz nicht verfügbar ist – es kommt wieder. Das ist besser, als es auf die super sichere Weise zu beheben und dafür ein Jahr zu brauchen.“

5. Wie sieht Abwehr in Maschinengeschwindigkeit aus, und welche Rolle spielen Menschen?

Die Abwehr muss sich genauso schnell bewegen wie der Angriff. Das bedeutet: Agenten übernehmen den Großteil der Arbeit, Menschen treffen die Urteile.

Hultquist unterschied zwei Arten von Angreifern. Da sind die Spionagegruppen, die „unauffällig und langsam“ vorgehen und sich jahrelang in Netzwerken einnisten. Auf der anderen Seite gibt es Kriminelle, die Erpressung betreiben – für sie zählt Geschwindigkeit: „Es ist ein Wettlauf zwischen Ihnen und mir: Ich muss alles bekommen, womit ich Sie erpressen kann, bevor Sie mich aufhalten.“

„Ein durchschnittliches SOC mit einem Menschen im Prozess wird da nicht mithalten können. Das SOC muss selbstständig Maßnahmen ergreifen – andernfalls bekommen Sie einfach einen Anruf.“

John Hultquist, Google Threat Intelligence Group

Ed Sim möchte, dass Verteidiger „eine Software-Verteidigungsfabrik aufbauen, so wie Entwickler Coding-Fabriken aufbauen“, doch die meisten haben noch nicht damit angefangen: Trotz aller Gespräche über autonome Verteidigung „tun 99 % der Unternehmen überhaupt nichts“. OpenAI ist schon weiter: Nach eigenen Angaben werden fast alle anfänglichen Sicherheitsmeldungen bereits von KI vorgeprüft, bevor ein Mensch hinzugezogen wird. „Wir haben nicht die fünf Jahre, von denen wir dachten, dass wir sie hätten. Wir haben vielleicht fünf Tage“, sagte Ed. CISOs wollen Agenten keine Befugnisse erteilen, „aber irgendwann werden sie es müssen“. Hultquist geht davon aus, dass Sicherheitsvorfälle das Thema erzwingen: „In vielen Fällen fließt das Geld erst nach einem Weckruf.“

Menschen sollten dort eingebunden bleiben, wo es wirklich darauf ankommt. Manoj beschrieb ihre Aufgabe als eine Kombination aus Absicht, Erfahrung und Urteilsvermögen. Für ihn zählt vor allem das Verhältnis zwischen gefundenen und behobenen Problemen: „Wenn dieses Verhältnis nicht stimmt, ist alles andere nur eine müßige Diskussion.“ Der Engpass ist der Prozess, denn ein Mensch muss jeden Pull Request genehmigen. Sie sollten sichere Genehmigungen automatisieren und Menschen über die Ausnahmen entscheiden lassen. Übernehmen Sie dann wieder die Initiative: „Wenn ein autonomer Angreifer Sie angreifen wird, warum greifen Sie sich nicht selbst an?“

Michael D’Angelo setzte der Chance eine Frist. Open Models liegen „ein paar Monate“ hinter den führenden Modellen zurück. Diese Lücke bezeichnet Greg Brockman als Zeitfenster für Verteidiger: Nutzen Sie jetzt die Leistungsfähigkeit der führenden Modelle, um Ihre Assets zu überprüfen und gefundene Schwachstellen zu beheben, bevor jemand mit einem vergleichbaren Modell – „sagen wir, in seinem Schlafzimmer“ – Ihnen zuvorkommt. Das ist der eine Schritt, den jeder einzelne CISO unternehmen sollte, bevor ein Open Model der Spitzenklasse erscheint.

6. Wie überwachen Sie ein System, das sich nie zweimal gleich verhält?

Das ist nach wie vor eine offene Frage – und genau hier gingen die Antworten des Panels auseinander.

Michaels Ausgangspunkt: „Wie sichert man ein nichtdeterministisches System? Dafür gibt es normalerweise zwei Wege: Erstens kontrolliert man, worauf es zugreifen kann; zweitens nutzt man in der Regel ein weiteres nichtdeterministisches System.“ Das Muster leitete er aus seiner Zeit beim Militär ab:

„Wenn man 18-Jährigen Zugang zu extrem gefährlichen Dingen gibt, geht man dabei folgendermaßen vor: Erstens gewährt man nur bestimmten Personen bestimmte Zugriffsrechte. Und zweitens stellt man ihnen einen Sergeant zur Seite. So stellt man sicher, dass sie das tun, was sie tun sollen.“

Michael D’Angelo, OpenAI

Er erwartet Flotten von Modellen, die von sehr günstigen Modellen überwacht werden.

Ed Sim brachte eine deterministische Ebene ins Spiel. „Das braucht ein ganzes Dorf“, sagte er: Die führenden Modelle übernehmen den ersten Scan; anschließend kommen Systeme zum Einsatz, die auf jahrelangen Daten zu realen Schwachstellen und deren Behebung basieren, denn „man braucht ein gewisses Maß an Determinismus.“
Die Frage nach Open oder Closed Models, die laut Manoj in den letzten Monaten auch CIOs erreicht hat, folgt derselben Logik wie die Wahl des Anwendungsfalls: Ein Modell an einem Ort zu hosten, den Sie kontrollieren, ist „eine Ebene, aber das reicht nicht aus, denn wie verhält es sich je nach Anwendungsfall?“ Einige Open Models sind gut ausgerichtet und geben trotzdem in großem Umfang persönliche Informationen preis. Deshalb gilt: „Verwenden Sie es nicht für diesen Anwendungsfall.“ Ebenso wenig würde er „einfach davon ausgehen, dass ein führendes Modell sicher ist.“

7. Wer trägt die Verantwortung, wenn ein Agent Schaden anrichtet?

Die Verantwortlichkeit wird in der Praxis geklärt, während die politische Debatte im Hintergrund weiterläuft.

Ed Sim formulierte die Frage, auf die noch niemand eine Antwort hat: „Ist es der Modellanbieter? Ist es das Unternehmen, das einen Agenten einsetzt, der dann den Standort eines anderen angreift?“ OpenAI testet seine eigenen Releases mit internen Teams und externen Testern, die in System Cards dokumentiert sind. Michael räumte offen ein, dass die Branche „noch dabei ist, das herauszufinden.“

Das Panel war sich uneinig darüber, wer die Frage klären sollte. Ed befürwortet Selbstregulierung. Er warnte, dass Regeln, die auf die größten Unternehmen zugeschnitten sind, das nächste „Unternehmen mit einem Wert von 100 Milliarden Dollar“ ausbremsen würden und dass China die Führung übernimmt, wenn wir uns „zu Tode regulieren“. Deirdre widersprach:

„Wenn man aber dieses China-Argument hört und sich China tatsächlich ansieht, stellt man fest, dass dort KI deutlich umfassender reguliert wird als in den USA.“

Deirdre Bosa, Yahoo Finance

Sie fragte auch, ob Selbstregulierung durch die größten Unternehmen eine Vereinnahmung der Regulierungsbehörden begünstigt. Manojs Antwort war vielschichtig und dringlich: „Wir können uns den Luxus, Zeit zu haben, nicht leisten.“ Zuerst Standards, dann Transparenz, Selbstregulierung und eine umfassendere Regulierung, die Verantwortlichkeit und Offenlegung vorschreibt – und das „viel schneller als in der Vergangenheit“. Sein eindringlicherer Punkt betraf die Aufmerksamkeit: „Wir richten unsere Aufmerksamkeit zu sehr auf die Labs“, während sich Agenten in jedem Unternehmen ausbreiten – als „sehr leistungsfähige Agenten oder potenzielle Insider“.

Banken handeln bereits. Ed verwies auf den Earnings Call von JPMorgan Chase in derselben Woche. Die Bank erklärte, dass sie Dienste, die darauf angewiesen sind, dass Kunden ihre Zugangsdaten fürs Banking weitergeben, soweit möglich blockiert. Die Warnung von CFO Jeremy Barnum, wie American Banker berichtete: „Wenn sie dem Agenten ihre Zugangsdaten geben und der Agent etwas tut, das sie nicht wollen, müssen sie dafür geradestehen.“

Was sollten Security-Verantwortliche am Montagmorgen tun?

Die Maßnahmen aus dieser einstündigen Diskussion – in der Reihenfolge, in der wir sie angehen würden:

1. Nutzen Sie das Zeitfenster für Verteidiger. Setzen Sie jetzt führende Modelle auf Ihren Code, Ihre Infrastruktur und Ihren Backlog an, bevor Open Models mit denselben Fähigkeiten Angreifern zur Verfügung stehen (Michael D’Angelo).

2. Greifen Sie sich zuerst selbst an. Ein autonomer Angreifer kommt ohnehin (Manoj Nair).

3. Verbessern Sie das Verhältnis zwischen gefundenen und behobenen Problemen. Automatisieren Sie sichere Behebungen und überlassen Sie Menschen die Ausnahmen und Entscheidungen, die Urteilsvermögen erfordern (Manoj Nair).

4. Lassen Sie das SOC eigenständig handeln. Ein Mensch in jeder Schleife kann mit einer Erpressergruppe nicht Schritt halten (John Hultquist).

5. Geben Sie jedem Agenten eine Identität. Er sollte eigene Zugangsdaten und einen Audit-Trail haben sowie Zugriffsrechte, die auf seine Aufgabe beschränkt sind und nach deren Abschluss ablaufen (Ed Sim). Beginnen Sie damit, zu überprüfen, was Ihre Agenten bereits tun können.

6. Aktivieren Sie überall eine starke Multi-Faktor-Authentifizierung (Manoj Nair).

7. Stellen Sie im Vorstand offen die Frage: „Warum können wir nicht alles beheben?“ Wenn die Antwort lautet, dass Verfügbarkeit immer Vorrang hat, sollte dieser Zielkonflikt neu bewertet werden.

Also: Wer zahlt die Rechnung für den Margin Call?

Bei einem Panel, das ausdrücklich auf kontroverse Diskussionen ausgelegt war, wurde die Einigkeit letztlich zur Schlagzeile. Ein führendes KI-Labor, ein Threat-Intelligence-Team, ein Investor und Snyk kamen alle zum selben Schluss: Das Risiko, das Sie eingegangen sind, als Angriffe noch langsam und teuer waren, ist jetzt fällig – und die Angreifer kassieren.

Der Ausweg ist nicht besonders glamourös: Beheben Sie Schwachstellen so schnell, wie Sie sie finden, überlassen Sie den Großteil der Behebungen Maschinen, beziehen Sie Menschen bei Entscheidungen ein, die Urteilsvermögen erfordern, und geben Sie jedem Agenten eine Identität und klare Grenzen, bevor Sie ihm die Schlüssel anvertrauen.

Ed Sims Wette für das kommende Jahr gilt den Verteidigern – gerade weil sie „es noch nicht genug nutzen“. Das ist die optimistische Sicht und zugleich die unbequeme: Es liegt an uns, die Lücke zu schließen, und die Uhr lief schon, bevor das Panel begann.

Am nächsten Morgen hielt Manoj die erste Keynote der Veranstaltung: Der KI-Hurrikan ist da: Rüsten Sie sich für den Sturm. Das Panel hatte bereits die Argumente für die zweite Hälfte dieses Titels geliefert.

Möchten Sie wissen, worauf Ihre eigenen Agenten zugreifen können? Laden Sie den Bericht „State of Agentic AI Adoption 2026, Volume III“ herunter und lesen Sie Snyks Analyse des Modellrisikos in Tausenden von Unternehmensumgebungen.