Was ist KI-Pentesting und wie funktioniert es?

Anders als ein Scanner, der bekannte Muster abgleicht, erschließt ein KI-Pentester, was eine Anwendung eigentlich tun soll, und versucht dann, diese Absicht zu unterlaufen – wie ein menschlicher Penetrationstester, aber kontinuierlich und in großem Maßstab. Diese Kategorie entstand 2025–2026, als große Sprachmodelle gut genug wurden, um die für Penetrationstests erforderlichen Schlussfolgerungen zu ziehen – und die Kosten so weit sanken, dass sich kontinuierliche Tests statt eines oder zweier Tests pro Jahr lohnten.

So funktioniert KI-Pentesting

Ein moderner KI-Pentester ist nicht einfach ein einzelnes Modell, das auf eine URL angesetzt wird. Es handelt sich um ein orchestriertes System mit vier Komponenten:

1. Ein Reasoning-Modell, das die Prüfung plant: Aufklärung, Hypothesenbildung, Sondierung, Ausnutzung und Verkettung – ähnlich wie ein menschlicher Tester bei einem Auftrag vorgeht.

2. Deterministische Tools, die das Modell für klar definierte Aufgaben einsetzt. Umfassende Payload-Tests bekannter Schwachstellenklassen lassen sich mit einer dynamischen Test-Engine (DAST) schneller und kostengünstiger durchführen als mit einem Modell, das Payloads Token für Token aufzählt.

3. Ein unabhängiger Validator, also ein separates Modell oder eine separate Engine, bestätigt, dass eine gefundene Schwachstelle tatsächlich ausnutzbar ist, bevor sie gemeldet wird. Das ist wichtig, denn ein Modell, das seine eigenen Ergebnisse bestätigen soll, unterliegt einem strukturellen Interessenkonflikt und verhält sich dabei uneinheitlich.

4. Kontext zum Ziel, denn die besten Systeme wissen, was die vorhandenen Tools einer Organisation bereits gefunden haben. So richten sie aufwendige Analysen auf Schwachstellen, bei denen sie wirklich erforderlich sind, statt bereits katalogisierte Fehler erneut zu entdecken.

Das Ergebnis ist keine einfache Liste von Warnmeldungen, sondern eine Angriffserzählung: Sie zeigt, wie einzelne Schwachstellen zu einem Angriffspfad kombiniert werden können – idealerweise mit einem ausführbaren Proof of Concept und der vollständigen Reasoning-Spur des Modells, damit ein Mensch sie überprüfen kann.

Was KI-Pentesting findet, was Scanner übersehen

Anwendungsschwachstellen lassen sich anhand der Frage wie sie gefunden werden können in zwei Klassen einteilen:

• Heuristisch erkennbare Schwachstellen zeigen sich deterministischen Tools durch Muster oder vorhersehbare Antworten – etwa SQL-Injection, Cross-Site-Scripting und Fehlkonfigurationen. Scanner erkennen diese zuverlässig und in großem Maßstab.

• Kontextabhängige Schwachstellen haben keine Signatur. Eine Regel wie „Nutzer A darf die Rechnung von Nutzer B nicht lesen“ lässt sich nicht einfach festlegen, denn es kommt auf das beabsichtigte Verhalten der Anwendung an. Zu dieser Klasse gehören fehlerhafte Autorisierung auf Objektebene (BOLA/IDOR), Datenlecks zwischen Mandanten, Authentifizierungsumgehungen, Rechteausweitung und verkettete Angriffe auf die Geschäftslogik.

KI-Pentesting soll die zweite Klasse abdecken – jene, auf die Angreifer zunehmend abzielen und die punktuelle Tools zwischen Releases übersehen. Es ersetzt keine Scanner bei der ersten Klasse, sondern erweitert die Abdeckung auf Schwachstellen, die sich mit keiner Signatur erkennen lassen.

KI-Pentesting im Vergleich zu DAST und manuellen Penetrationstests

Die drei Ansätze ergänzen einander, sie ersetzen sich nicht. Die stärksten Programme nutzen Scanner für Klassen, die anhand von Signaturen erkannt werden, KI-Pentesting für kontinuierliches Reasoning und menschliche Tester für Aufgaben, die besonders viel Urteilsvermögen erfordern.

Warum „der Generator nicht der Validator sein kann“

Die wichtigste Frage zur Zuverlässigkeit von KI-Pentesting lautet: Kann man den Meldungen der KI vertrauen? Benchmarks zeigen, dass ein Modell, das seine eigenen Ergebnisse finden und bestätigen soll, uneinheitlich arbeitet. Wird es zweimal auf dasselbe Ziel angesetzt, kommt es möglicherweise nicht zum selben Ergebnis. Deshalb trennt glaubwürdiges KI-Pentesting die Aufgaben: Ein Modell analysiert und schlägt Befunde vor, während ein unabhängiger Validator die Ausnutzbarkeit bestätigt, bevor etwas gemeldet wird. Ein Befund, den Sie nicht reproduzieren können, ist schlimmer als gar kein Befund.

Ist KI-Pentesting zuverlässig? (Welche Einschränkungen gibt es?)

KI-Pentesting vervielfacht die Wirkung Ihres Teams, ersetzt aber keineswegs das Urteilsvermögen von Experten – und es ist wichtig, die Situation realistisch einzuschätzen:

• Bei den schwierigsten Aufgaben ist die Leistung autonomer Systeme uneinheitlich. In einem Benchmark für autonomes Red Teaming löste das stärkste Modell insgesamt 61 % der Herausforderungen, bei schwierigeren Aufgaben zur Systemausnutzung sank die Erfolgsquote jedoch auf unter 26 %.

• Befunde müssen unabhängig validiert werden. Bei unverarbeiteten KI-Tools wurde beobachtet, dass sie in etwa 30 % der Fälle Befunde halluzinieren. Ein False Positive, dem Sie nicht vertrauen können, ist schlimmer als gar kein Befund. Glaubwürdige Systeme setzen einen unabhängigen Validator zwischen Modell und Bericht.

• Orchestrierung ist einem einzelnen Modell überlegen. Die besten Ergebnisse erzielen Systeme, die Reasoning mit deterministischen Tools und einem unabhängigen Validator kombinieren – nicht einzelne Modelle, die direkt auf ein Ziel angesetzt werden.

Fazit: KI-Pentesting funktioniert am besten als orchestriertes, unabhängig validiertes System, das kontinuierlich läuft und bei besonders kritischen Entscheidungen Menschen einbezieht.

Der Stand des KI-Pentestings (Welche Beispiele gibt es?)

• Nicht-Experten lösten mit Coding-Agenten komplexe Capture-the-Flag-Herausforderungen in weniger als einer Stunde und für unter 20 $ pro Aufgabe – Aufgaben, für die zuvor fundierte Fachkenntnisse nötig waren (RAND, 2026).

• Die Zahl gültiger, KI-generierter Schwachstellenberichte an HackerOne stieg im Jahresvergleich um 210 %; Berichte zu Prompt-Injection nahmen um 540 % zu.

• Programme mit Frontier-Modellen deckten Zehntausende Schwachstellen mit hohem und kritischem Schweregrad in weit verbreiteter Open-Source-Software auf – darunter jahrzehntealte Fehler, die Fuzzing-Tools übersehen hatten (Anthropic; Mozilla, 2026).

• Auch Angreifer nutzen diese Fähigkeiten: Sicherheitsforscher untersuchten die erste Zero-Day-Schwachstelle, die mit Unterstützung von KI in freier Wildbahn entwickelt wurde (Google GTIG, 2026).

So bewerten Sie eine KI-Pentesting-Lösung

Bei einem Vergleich verschiedener Tools helfen diese sechs Fragen:

1. Unabhängige Validierung – Bestätigt ein separater Schritt die Ausnutzbarkeit, oder bewertet sich das Modell selbst?

2. Kontext – Weiß das Tool, was Ihre vorhandenen Scanner bereits gefunden haben, damit es neue Schwachstellen sucht, statt Fehler erneut zu finden?

3. Kontinuierliche Tests – Wird bei jeder Änderung erneut getestet, oder erhalten Sie nur eine weitere Momentaufnahme?

4. Überprüfbare Ergebnisse – Gibt es einen ausführbaren Proof of Concept und eine Reasoning-Spur, die Sie prüfen können?

5. Wenige False Positives – Vertraut Ihr Team den Befunden genug, um darauf zu reagieren?

6. Ergänzung statt Ersatz – Erweitert das Tool Ihre Scanner und manuellen Tests, statt zu behaupten, sie zu ersetzen?

Ein Beispiel dafür: Evo Continuous Offensive Security von Snyk setzt auf diese Eigenschaften: ein unabhängiges Validierungsmodell, Kontext aus der Snyk AI Security Platform, kontinuierliche Tests und Snyk API & Web als deterministische Engine (False-Positive-Rate von 0,08 %).