Evo Continuous Offensive Security ist da: Pentesting-Abdeckung auf höchstem Niveau an 350 Tagen im Jahr

Auf der Black Hat USA 2026 stellt Snyk Evo Continuous Offensive Security allgemein zur Verfügung: autonomes, KI-gestütztes Pentesting, das die Lücke zwischen Ihrem ein- oder zweimal jährlich stattfindenden Pentest und den 350 Tagen schließt, an denen Angreifer unablässig aktiv sind. COS ist das neue Herzstück einer vernetzten Abwehr, die eine Frage beantwortet, die sich inzwischen jedes Board stellt: Wie bereiten wir uns auf autonome KI-Angriffe vor?

Es ist längst keine Neuigkeit mehr, dass KI die Softwareentwicklung grundlegend verändert hat. Code, dessen Auslieferung früher Tage dauerte, entsteht heute in Minuten, und wir alle profitieren von KI-Coding-Assistenten und zunehmend auch von autonomen Agenten, die Seite an Seite mit uns arbeiten. Doch große Möglichkeiten bringen große Verantwortung mit sich: Wir müssen mit diesem Tempo Schritt halten. Diese Beschleunigung stellt Sicherheitsteams vor eine Herausforderung, deren Ausmaß ihnen erst allmählich klar wird: Angreifer können nun eine stark vergrößerte Angriffsfläche ins Visier nehmen und verfügen dabei über dieselbe schlussfolgerungsfähige KI, mit der Entwickler so schnell Software erstellen.

Die Tragweite zeigt sich auch daran, dass die Angriffsfläche nun gleichzeitig drei Bereiche umfasst: Architekturfehler, die nur schlussfolgerungsfähige Systeme erkennen können, Zugangsdaten, die aus KI-generiertem Code durchsickern, sowie Modelle und Agenten, die jetzt direkt in den Entwicklungslebenszyklus eingebettet sind. Und Angreifer nehmen inzwischen alle drei Bereiche gleichzeitig mit Maschinengeschwindigkeit ins Visier.

Im Juni warnte die Five Eyes Alliance, dass KI die aktuellen Cybersicherheitsfähigkeiten voraussichtlich innerhalb von Monaten statt Jahren umgehen wird und die Zeit bis zum Durchbruch eines Angreifers inzwischen in Sekunden gemessen wird. Gartner prognostiziert, dass sich das Zeitfenster bis zur Ausnutzung bis 2027 halbieren wird. Auch Snyks aktuelle Forschung zur KI-Einführung in Unternehmen kommt zum selben Schluss, allerdings aus einer anderen Perspektive: Die agentische Entwicklung beschleunigt sich schneller, als Sicherheitsprogramme sie erfassen können. Um all dem zu begegnen, braucht es vier Maßnahmen, nicht nur eine.

Heute reagiert Snyk auf der Black Hat USA 2026 auf diesen Wandel und erweitert die Snyk AI Security Platform so umfassend wie nie zuvor. Nicht mit einem Produktpaket, sondern mit einer vernetzten Abwehr, die sich an den vier Schritten orientiert, die Unternehmen für sichere Innovation benötigen: die vollständige Angriffsfläche erkennen, den übernommenen Rückstand beheben, validieren, was ein Angreifer tatsächlich ausnutzen kann, und verhindern, dass neue Risiken ihn erneut aufbauen.

Im Mittelpunkt steht die allgemeine Verfügbarkeit von Evo Continuous Offensive Security (COS): autonomes, KI-gestütztes Pentesting, das mit der KI-beschleunigten Entwicklung Schritt hält. Außerdem kündigt Snyk ein erweitertes AI Security Posture Management, einen ersten Einblick in Evo Agentic Application Security sowie die allgemeine Verfügbarkeit von Snyk Secrets an. Zusammen schützen diese Lösungen den gesamten Lebenszyklus KI-beschleunigter Software: wie sie entwickelt wird, woraus sie besteht und wie sie angegriffen wird.

Eine vernetzte Abwehr: Erkennen, Beheben, Validieren, Verhindern

Eine vernetzte Abwehr ist unverzichtbar gegen Angreifer, die Ihre Anwendung inzwischen mit Maschinengeschwindigkeit analysieren – und das zum Preis von Tokens:

• Erkennen: Verschaffen Sie sich einen Überblick über die gesamte Software- und KI-Angriffsfläche: Modelle, Agenten, MCP-Server, Skills, Tools und die Ressourcen, auf die sie jeweils zugreifen können. Dieser erste Schritt wird durch AI-SPM, die AI-BOM und die Snyk AI Security Platform ermöglicht.

• Beheben: Bauen Sie den übernommenen Rückstand ab, bevor autonome Angreifer ihn schneller durchgehen, als Menschen reagieren können. Dieser Schritt wird durch Snyks Application Intelligence und autonome Behebung ermöglicht.

• Validieren: Greifen Sie Anwendungen kontinuierlich an, um zu belegen, dass Korrekturen Bestand haben, aufzuzeigen, was weiterhin ausnutzbar ist, und Architektur- sowie Geschäftslogikfehler offenzulegen, die kein Scanner erreicht. Dieser Schritt wird durch Evo COS ermöglicht.

• Verhindern: Verhindern Sie, dass Secrets, schädliche Pakete und neue Schwachstellen den Rückstand wieder aufbauen, während Menschen und Agenten Software schreiben. Dies wird schließlich durch Snyk Secrets, Präventions-Gates und den Schutz vor schädlichem Code ermöglicht.

Da Snyk den Code, die Abhängigkeiten, APIs, KI-Komponenten und den Entwicklungskontext bereits versteht, verstärken die einzelnen Funktionen einander, statt ein weiteres isoliertes Tool hinzuzufügen. Das ist der Unterschied zwischen einer Plattform und einem Produktpaket.

Das Problem: Angreifer sind im Stack aufgestiegen, Tests jedoch nicht

Seit mehr als zwei Jahrzehnten gilt in der Anwendungssicherheit eine klare Unterscheidung: Scanner finden Implementierungsfehler, menschliche Pentester Architekturfehler. Automatisierte Scanner sind bei der ersten Kategorie wirklich hervorragend geworden. Sie finden SQL-Injection, Cross-Site-Scripting, Fehlkonfigurationen sowie im Code erkennbare Injection- und Musterklassen. Hunderte Schwachstellenklassen werden inzwischen über den gesamten Softwarelebenszyklus hinweg zuverlässig erkannt. Das ist ein echter, dauerhafter Erfolg – und daran wird sich nichts ändern.

Doch Angreifer sind im Stack aufgestiegen und nehmen nun Fehler auf Designebene ins Visier. Um sie auszunutzen, muss man verstehen, was eine Anwendung tun soll. Sie stecken in den Vertrauensbeziehungen eines Systems, nicht in seinem Code, und lassen sich daher nicht durch eine Signatur erkennen. So sehen sie beispielsweise aus:

• 2019 wurden bei First American rund 885 Millionen Finanzdokumente offengelegt. Das geschah weder durch Malware noch durch eine Zero-Day-Schwachstelle, sondern durch die Änderung einer einzigen Zahl in einer URL. Alle Scanner meldeten keine Auffälligkeiten, und die Anwendung tat genau das, was ihr Code vorgab. Sie hätte lediglich einem Kunden nicht die Dokumente eines anderen zugänglich machen dürfen.

• Im Januar 2026 veröffentlichten Forscher Details zu BodySnatcher (CVE-2025-12420, CVSS 9.3): Eine einzige E-Mail-Adresse genügte, um sich als beliebiger ServiceNow-Administrator auszugeben und die KI-Agenten der Plattform zu übernehmen. Es wurden keine Passwörter geknackt und es gab keinen Exploit-Code. Tatsächlich lag das Problem schlicht in einem Design, das dem Falschen vertraute.

Zu dieser Klasse von Schwachstellen gehören Broken Object-Level Authorization (BOLA) und Privilegienausweitung durch Manipulation von Kennungen, mandantenübergreifende Datenlecks, bei denen Kundendaten exfiltriert werden, sowie verkettete Geschäftslogik-Angriffe, bei denen sich einige Probleme mit geringem Schweregrad zu einer Kontoübernahme verbinden. Ein Jahrzehnt lang schlummernde Schwachstellen mit niedrigem und mittlerem Schweregrad sowie jeder neue Fund sind nun mit Maschinengeschwindigkeit erreichbar und verkettbar. Und Sie können keine Scanner-Regel für „Benutzer A darf die Rechnung von Benutzer B nicht lesen“ schreiben, denn diese Regel hängt vollständig davon ab, was die Anwendung tun soll.

Um solche Fehler zu finden, war schon immer menschliches Urteilsvermögen nötig – deshalb war dafür stets ein manueller Penetrationstest erforderlich. Manuelles Pentesting ist unersetzlich, aber an die verfügbare Zeit von Menschen gebunden. Ein typischer Auftrag dauert 15 Tage und kostet zwischen 20.000 und 100.000 US-Dollar, bildet jedoch nur einen einzigen Zeitpunkt ab. Das Abdeckungsfenster schließt sich, sobald der Bericht vorliegt – bis dahin wurden für die Anwendung bereits mehrere weitere Releases veröffentlicht. Ihr Pentest deckt ungefähr 15 Tage im Jahr ab. Was passiert an den übrigen 350 Tagen? Die Entwicklung macht keine Pause, und Angreifer auch nicht. Jedes Release, das in diesem Zeitraum ausgeliefert wird, bleibt genau auf der Ebene ungeprüft, auf der das Risiko mit den größten Auswirkungen liegt.

KI verändert die Rechnung, nicht die Disziplin

Das hat sich tatsächlich verändert: Der Schritt des Schlussfolgerns, den zuvor nur menschliche Pentester leisten konnten – die Absicht einer Anwendung zu modellieren und anschließend herauszufinden, wie sie sich unterlaufen lässt –, kann nun auch von einem ausreichend leistungsfähigen Modell ausgeführt werden. Wiederholbar und zu einem Bruchteil der Kosten. Die Disziplin bleibt dieselbe, doch die Wirtschaftlichkeit ist eine ganz andere.

Der Beleg dafür ist bereits öffentlich und in großem Umfang sichtbar. Im Jahr bis Mitte 2026 stieg die Zahl gültiger, KI-generierter Schwachstellenmeldungen an HackerOne um 210 Prozent; die Zahl der Meldungen zu Prompt Injection nahm um 540 Prozent zu. Der Anstieg konzentrierte sich genau auf die schlussfolgerungsabhängigen Fehler, die Scanner nicht erkennen. Die Grenze beim Schlussfolgern, die zwanzig Jahre Bestand hatte, erodierte nicht allmählich – sie fiel innerhalb einer Modellgeneration.

Die wirklich beunruhigende Folgerung daraus: Angreifer überschritten im selben Moment dieselbe Grenze und agieren bereits durchgängig. Bei einer staatlich unterstützten Cyber-Spionagekampagne, die Ende 2025 offengelegt wurde, führte KI bis zu 90 % der Operation statt menschlicher Hacker aus (Anthropic Threat Intelligence, November 2025).

Die Frage ist nicht mehr, ob KI die Schwachstellen finden und ausnutzen kann, die Scanner übersehen, sondern ob Ihre Offensive-Security-Tests sie finden, bevor es ein Angreifer tut.

Evo Continuous Offensive Security ist allgemein verfügbar

Wir haben Evo Continuous Offensive Security entwickelt, um genau diese Lücke zu schließen. Die KI-gestützte Pentesting-Funktion basiert auf einem KI-Harness für Unternehmen, das die Absicht einer Anwendung analysiert und so Architekturfehler sowie Schwachstellen in der Geschäftslogik aufdeckt, die herkömmliche Scanner übersehen. Und sie läuft kontinuierlich, nicht nur einmal im Jahr.

Entscheidend ist: COS testet nicht im Blindflug. Als Teil der Snyk AI Security Platform erhält es Kontext aus vorhandenen Findings von Snyk Code, Snyk Open Source und Snyk API & Web – sowie aus Evo AI-SPM, das zusätzliche Einblicke für das Testen KI-nativer Apps liefert. So richtet COS seine Analyse auf Fehler aus, die diese Tools nicht erkennen können, statt teure Modellzyklen darauf zu verwenden, bereits gefundene Schwachstellen erneut aufzudecken. Wie unser Team sagt: Wenn ein Bug 1 US-Dollar und ein Fehler 100 US-Dollar wert ist, warum sollten Sie dann Pentest-Zyklen darauf verwenden, Bugs im Wert von 1 US-Dollar erneut zu finden?

Die Funktion umfasst drei integrierte Komponenten, die als ein kontinuierliches Offensive-Security-Programm zusammenarbeiten: mit gezieltem Schlussfolgern, umfassender Abdeckung dort, wo sie sich lohnt, und einer speziell für die neue KI-Angriffsfläche entwickelten Architektur:

• Wie ein Angreifer denken – KI-Pentesting ist das Herzstück von COS. Es legt den Umfang selbst fest, plant einen mehrstufigen Angriff und validiert die Ausnutzbarkeit. Dazu orchestriert es die spezialisierten Agenten und sämtliche Tools im Harness, um Architekturfehler und Missbrauch der Geschäftslogik zu finden, die Scanner und manuelle Tester übersehen. Jede bestätigte Schwachstelle wird mit einem ausführbaren Proof of Concept ausgeliefert: ein Beweis, keine bloße Beschreibung.

• Das KI-Layer mit Red Teaming prüfen – Agent Red Teaming wurde speziell für die agentische Ebene von KI-Anwendungen entwickelt. Es kommt zum Einsatz, sobald die Aufklärung ein LLM im Stack erkennt. Es simuliert die tatsächliche Angriffskette: Benutzer-Prompt --> Prompt Injection --> Missbrauch von Tools und Agenten --> Datenexfiltration. Im Visier stehen Prompt Injection, Exfiltration und die Übernahme von Zielen – Angriffe, die keine Signatur erkennen kann.

• Gängige Schwachstellenklassen abdecken – Dynamic Testing (DAST) bietet eine umfassende, hochgradig deterministische Abdeckung aller Endpunkte und Injection-Punkte für gängige Schwachstellenklassen wie XSS, SQL-Injection und Fehlkonfigurationen – bei einer Falsch-Positiv-Rate von 0,08 %. Die Reasoning-Ebene ruft es als Tool auf, statt Zeit für die Validierung gängiger Bugs aufzuwenden. So kann die KI ihre Kapazitäten auf Schwachstellen statt auf Triage konzentrieren.

Findings erscheinen nicht als unverbundene Liste einzelner Warnmeldungen, sondern als zusammenhängende Exploit-Ketten. Sie zeigen, wie eine Autorisierungslücke und ein Logikfehler gemeinsam einen Angriffspfad mit schwerwiegenden Folgen ergeben – so, wie ein Angreifer Ihr System tatsächlich betrachten würde.

COS begegnet auch direkt dem Vertrauensproblem, das naive Ansätze untergräbt: Dieselbe KI kann nicht zugleich eine Schwachstelle finden und bestätigen. Das Generierungsmodell kann nicht zugleich die Validierung übernehmen. Ein Modell, das seine eigenen Findings zertifizieren soll, steckt in einem strukturellen Interessenkonflikt und verhält sich dabei inkonsistent. Deshalb wird jedes COS-Finding vor seiner Anzeige durch einen unabhängigen Validierungsprüfer freigegeben. Die Falsch-Positiv-Rate ist extrem niedrig, verglichen mit rund 30 % bei unverarbeiteten KI-Tools. Zusätzlich erhalten Sie den ausführbaren Proof of Concept und die vollständige Reasoning-Spur, die dahintersteht. Ihr Team bekommt also keine Warnmeldung, der es einfach Glauben schenken muss, sondern einen Exploit, den es tatsächlich ausführen kann.

Das ist der entscheidende Unterschied, den man präzise benennen sollte: Ein leistungsfähiges Modell ist kein Penetrationstest. Entscheidend ist das System, nicht das Modell: Erst das Enterprise-KI-Framework rund um die Schlussfolgerungen macht autonome offensive Tests vertrauenswürdig. Dazu gehören persistenter Kontext und ein Gedächtnis über mehrere Durchläufe hinweg, kontrollierte Ausführung und Governance, die Tests in produktionsnahen Umgebungen absichern, Reproduzierbarkeit und die Plattformintelligenz, die jede Prüfung unterstützt. Punktlösungen fangen bei jedem Durchlauf von vorn an – ohne Gedächtnis, Plattformkontext oder Governance. Genau diese Lücke schließt das Framework.

Genauso wichtig: COS ersetzt nicht die Security-Engines, die Sie einsetzen, sondern ergänzt sie. Die Scanner decken weiterhin die Implementierungsklassen ab, in denen sie besonders stark sind, menschliche Tester übernehmen weiterhin die Aufgaben, die das höchste Urteilsvermögen erfordern, und COS schließt die kontinuierliche, schlussfolgerungsbasierte Lücke dazwischen – mit erneuter Validierung nach jeder Änderung Ihrer Anwendung.

Die Abwehr vervollständigen: Erkennen, beheben, verhindern

Die Validierung ist der entscheidende Schritt, aber sie ist nur ein Teil eines Kreislaufs, und ein Kreislauf ist nur so stark wie die Komponenten, die ihn umgeben. COS kann nur nachweisen, was ein Angreifer ausnutzen könnte, weil die Plattform darum herum die gesamte Angriffsfläche erkennt, die COS testet, den Rückstand an Schwachstellen beseitigt, den ein Angreifer sonst ausnutzen könnte, und verhindert, dass neue Risiken schneller entstehen, als Sie sie testen können. Drei Ankündigungen schließen diesen Kreislauf – und jede davon macht COS noch leistungsfähiger.

Erkennen – verbessertes AI Security Posture Management

Erkennen (AI-SPM): Die Erkennung weist COS die richtigen Ziele zu und liefert zunehmend auch die Informationen dafür: die AI-BOM und AI-SPM-Signale, mit denen COS KI-native Anwendungen testet.

Was Sie nicht sehen, können Sie nicht steuern. Dennoch fehlt den meisten Unternehmen noch immer der Einblick in die Ebene, auf der KI-Risiken heute entstehen. Snyk stellt ein umfassendes Upgrade seiner Risikoinformationen zu AI Security Posture Management (AI-SPM) bereit: mit einer grundlegend überarbeiteten Taxonomie und Bewertungs-Engine für Modellrisiken sowie neuen Analysen zu Skills und MCP-Server-Risiken, die direkt in der AI-BOM angezeigt werden. So sehen Sie, womit Ihre Agents tatsächlich interagieren: jedes eingesetzte Modell, jeden Skill und jeden MCP-Server. Und Sie können die Risiken jedes einzelnen Elements präziser und besser nachvollziehbar bewerten. Wie die neu veröffentlichte Studie von Snyk zeigt, ist der tatsächliche KI-Footprint eines Unternehmens viel größer, als sein Modellinventar vermuten lässt – und den meisten Governance-Programmen fehlt nach wie vor der Überblick darüber. Dieses Upgrade schließt die Lücke.

Beheben – Evo Agentic AppSec: ein erster Ausblick auf die nächsten Schritte

Beheben (Agentic AppSec): Die Behebung macht aus einem COS-Fund ein beseitigtes Risiko statt eines weiteren Tickets.

Snyk gibt außerdem einen ersten Einblick in Evo Agentic Application Security – die Vision für autonome Anwendungssicherheit, bei der sich AppSec vom Finden von Problemen hin zu deren autonomer Behebung und Abwehr entwickelt. Den Auftakt macht die öffentliche Vorschau des Snyk Remediation Agent über die CLI und ADE. Er behebt Schwachstellen automatisch, statt Entwicklerinnen und Entwicklern einen Rückstand zur Triage zu überlassen. Außerdem gibt es einen ersten Einblick in einen neuen Malware Detection Agent, der bösartigen Code erkennen soll, bevor er ausgeliefert wird. In diese Richtung entwickelt sich das Fachgebiet – und hier beginnt das nächste Kapitel der Plattform.

Verhindern – Snyk Secrets jetzt allgemein verfügbar

Verhindern (Snyk Secrets): Prävention sorgt dafür, dass COS im nächsten Quartal nicht dieselben Probleme erneut findet.

Schließlich ist Snyk Secrets jetzt allgemein verfügbar: ein Produkt zur Erkennung und Vermeidung offengelegter Secrets, das für den agentenbasierten Entwicklungslebenszyklus (ADLC) entwickelt wurde. Durch KI-generierten Code sind offengelegte Zugangsdaten zu einem Problem erster Ordnung geworden. Snyk Secrets nutzt eine proprietäre Machine-Learning-Engine zur Erkennung, die den Kontext eines potenziellen Secrets berücksichtigt und so Fehlalarme reduziert. Präventionskontrollen greifen bei KI-Coding-Agents, in IDEs, bei Pull Requests und in CI/CD. So lässt sich die Entwicklung agentenbasierter Software auf natürliche Weise absichern: Zugangsdaten gelangen gar nicht erst in die Produktion, während Entwicklerinnen und Entwickler ohne Unterbrechung weiterarbeiten können.

„Umfang und Tempo des KI-generierten Codes haben das Pentesting-Modell, mit dem die meisten von uns seit Jahren arbeiten, grundlegend überholt. Eine kontinuierliche Angriffsfläche lässt sich nicht durch noch mehr Terminplanung in den Griff bekommen. Wir brauchen offensive Tests, die mit der heutigen Softwareentwicklung Schritt halten – mit genügend Kontext, um sich auf tatsächlich ausnutzbare Schwachstellen zu konzentrieren, statt nur auf theoretisch mögliche.“, Gabriel Brolo, Staff Security Engineer, Yalo

Warum das wichtig ist

Betrachtet man die vier Ankündigungen aus der Distanz, ergibt sich eine klare Aussage. KI hat jeden Schritt der Softwareentwicklung beschleunigt und dadurch die Angriffsfläche über den gesamten Lebenszyklus hinweg vergrößert: den von KI geschriebenen Code, die Zugangsdaten und Komponenten, auf denen er basiert, die darin eingebetteten Modelle und Agents sowie die laufende Anwendung, die ein Angreifer sondiert. Punktlösungen und Tests zu einem bestimmten Zeitpunkt wurden für eine langsamere, linearere Welt entwickelt. KI-beschleunigte Software zu schützen bedeutet, sie so zu testen, wie sie heute entwickelt und angegriffen wird: kontinuierlich, mit dem Kontext der gesamten Plattform und mit vertrauenswürdigen Ergebnissen, weil nicht dasselbe Modell den Fehler gefunden und bewertet hat.

Das bedeutet, den gesamten Lebenszyklus KI-beschleunigter Software abzusichern: wie sie entwickelt wird, worauf sie basiert und wie sie angegriffen wird.

Verfügbarkeit

Evo Continuous Offensive Security und Snyk Secrets sind jetzt allgemein verfügbar. Die erweiterten AI-SPM-Funktionen stehen bestehenden Kunden ab sofort zur Verfügung. Der Remediation Agent von Evo Agentic AppSec ist über die Snyk CLI als öffentliche Vorschau verfügbar; der Malware Detection Agent befindet sich in einer privaten Vorschau. Buchen Sie eine Demo und erfahren Sie noch heute mehr über Evo.