Eine KI sandte in 90 Tagen 1.060 Schwachstellenmeldungen und führte HackerOne an. Ist der Pentest vorbei?

Neunzig Tage, tausendsechzig Meldungen

Im Juni 2025 setzte sich XBOW als erstes autonomes System an die Spitze der US-Rangliste von HackerOne, der weltweit größten Bug-Bounty-Plattform. In rund 90 Tagen schickte der Pentest-Agent des Unternehmens 1.060 Schwachstellenmeldungen an Programme echter Unternehmen. 54 davon wurden als kritisch eingestuft.

Der Markt reagierte schnell. XBOW sammelte im Juni 2025 75 Mio. US$ ein und im März 2026 weitere 120 Mio. US$, in einer Runde, die das Unternehmen mit mehr als 1 Milliarde US$ bewertete. Im August 2026 folgte Horizon3.ai, Anbieter der autonomen Pentest-Plattform NodeZero: 250 Mio. US$ bei einer Bewertung von über 2 Milliarden US$. Nach eigenen Angaben hat das Unternehmen mehr als 6.500 Kundenorganisationen und über 300.000 Pentests in Produktivumgebungen durchgeführt.

Wer Sicherheit einkauft, stellt sich unweigerlich eine Frage. Wenn eine Maschine in 90 Tagen schafft, wofür ein Team Jahre bräuchte, hat der menschliche Pentest dann ein Verfallsdatum?

Meine kurze Antwort: der Pentester nicht. Der jährliche Pentest als PDF schon. Die lange Antwort steckt in den Zahlen.

Was die Rangliste nicht zeigt

XBOW selbst hat die Aufschlüsselung dieser 1.060 Meldungen veröffentlicht. Zum Zeitpunkt der Veröffentlichung waren 130 behoben und 303 in der Triage. Weitere 208 waren als Duplikate markiert, 209 als rein informativ und 36 als nicht zutreffend. Der Rest wartete auf Prüfung.

Ich habe nachgerechnet. Etwa 4 von 10 Meldungen waren bereits akzeptiert oder in Prüfung, weitere 4 von 10 würden nie zu einer Korrektur führen. Und es gibt ein Detail, das kaum eine Schlagzeile erwähnte: Das Sicherheitsteam von XBOW prüfte die Meldungen vor dem Absenden, um die Regel von HackerOne zu automatisierten Werkzeugen einzuhalten.

Die Maschine holte sich die Spitze der Rangliste. Die Triage blieb bei Menschen.

Wenn die KI weiß, wo sie suchen muss, und wenn nicht

Die akademische Forschung hilft, dieses Muster zu verstehen. Im April 2024 zeigten Forscher der University of Illinois in einer noch nicht begutachteten Preprint-Studie mit nur 15 bekannten Schwachstellen, dass ein auf GPT-4 basierender Agent 87 % davon ausnutzte, wenn er die offizielle Beschreibung der Schwachstelle erhielt. Ohne Beschreibung waren es 7 %. 2025 veröffentlichte dieselbe Gruppe CVE-Bench mit 40 kritischen Schwachstellen in Webanwendungen, und der beste Agent löste höchstens 13 %.

Mit der Karte in der Hand nutzt die KI Schwachstellen sehr gut aus. Ohne Karte stolpert sie noch häufig.

Ich will nicht kleinreden, was Maschinen heute schon leisten, denn das ist viel. Im Finale der AI Cyber Challenge der DARPA im August 2025 analysierten sieben Teams mehr als 54 Millionen Zeilen Code. Die Systeme fanden 54 der 63 von den Veranstaltern platzierten Schwachstellen und obendrein 18 echte, bis dahin unbekannte Schwachstellen, zu durchschnittlichen Kosten von etwa 152 US$ pro Aufgabe. Big Sleep, der Agent, den Googles Project Zero gemeinsam mit DeepMind entwickelt hat, fand 2024 eine ausnutzbare Schwachstelle in SQLite, bevor sie in eine offizielle Version gelangte. Im Juli 2025 wurde er laut Google erstmals eingesetzt, um die Ausnutzung einer Schwachstelle zu verhindern, die nur die Angreifer kannten.

Schwachstellen zu finden ist schnell und billig geworden. Teuer ist alles andere.

Das Geld setzt nicht auf den Pentest von heute

Im Juli schrieb Vicente Conde, SaaS sterbe nicht, es verändere seine Form. Mit Agenten rechnet Software nach Ergebnis ab und kann einen Teil des Werts abschöpfen, der bisher stets der menschlichen Arbeit zufiel. Zur Veranschaulichung zitiert er eine Folie von Insight Partners, die Cybersicherheit als Markt von 350 Milliarden US$ aus Arbeitskräften und Dienstleistungen darstellt, von denen 95 Milliarden US$ auf Software entfallen.

Der Pentest ist vielleicht das deutlichste Beispiel für diese These. MarketsandMarkets schätzt den Markt für Penetrationstests 2025 auf 1,98 Milliarden US$ und prognostiziert 4,39 Milliarden US$ für 2031. Unternehmensbewertung und Marktumsatz sind unterschiedliche Größen, das weiß ich, und ich addiere sie nicht. Trotzdem sagt der Vergleich etwas aus: Investoren haben einem einzigen Anbieter autonomer Pentests einen höheren Wert beigemessen als den Jahresumsatz der gesamten Branche. Das tut niemand, um im Pentest-Markt in seiner heutigen Form mitzuspielen. Die Wette lautet, das Modell "ein Test pro Jahr, ein PDF-Bericht" durch kontinuierliches Testen zu ersetzen, abgerechnet wie Software.

Das Detail, das Verteidiger beunruhigen sollte

Während wir darüber streiten, ob der Agent den Pentester ersetzt, hat der Angreifer längst entschieden. In dem Bericht, den Anthropic im November 2025 veröffentlichte, findet sich eine Spionagekampagne, die einer vom chinesischen Staat unterstützten Gruppe zugeschrieben wird. Darin führte die KI 80 % bis 90 % der taktischen Operationen gegen rund 30 Organisationen selbstständig aus.

Derselbe Bericht zeigt, dass selbst der Angreifer die Arbeit der Maschine überprüfen musste. Die KI behauptete mitunter, Zugangsdaten erbeutet zu haben, die nicht funktionierten, und Anthropic wertet das als Hindernis für vollständig autonome Angriffe.

Beide Seiten sind zum selben Schluss gekommen. Der Unterschied liegt in der Frequenz: Der Angreifer testet jeden Tag, viele Unternehmen einmal im Jahr.

In Brasilien fehlt es nicht an Werkzeugen

ISC2 schätzte 2024, dass in Brasilien 214.536 Sicherheitsfachkräfte fehlten. In der Ausgabe 2025 der Studie mit mehr als 16.000 befragten Fachleuten hörte die Organisation auf, die Lücke zu beziffern, und misst seither Kompetenzen: 59 % melden einen kritischen oder erheblichen Bedarf an Fähigkeiten, gegenüber 44 % ein Jahr zuvor.

Auch die Regulierung verlangt das jährliche Ritual nicht. Die Resolução CMN 4.893 (Vorgabe der brasilianischen Zentralbank) von 2021 fordert von Finanzinstituten, regelmäßig Tests und Scans zur Erkennung von Schwachstellen durchzuführen. Nirgends steht "jährlicher Pentest". Dort steht regelmäßig, und das lässt reichlich Raum für kontinuierliches Testen.

Drei Entscheidungen derer, die den Wandel verstanden haben

1. Das Ereignis durch den Fluss ersetzen. Der jährliche Pentest macht eine Momentaufnahme einer Umgebung, die sich jede Woche ändert. Kontinuierliches, automatisiertes Testen erfasst, was der Momentaufnahme entgeht, und der Spezialist kommt dort ins Spiel, wo die Maschine am häufigsten irrt: Geschäftslogik, verkettete Schwachstellen, Kontext.

2. Validierung statt Menge kaufen. Entscheidend ist nicht, wie viele Schwachstellen der Bericht auflistet. Entscheidend ist, wie viele jemand als in Ihrer Umgebung ausnutzbar bestätigt hat, und mit welcher Auswirkung auf das Geschäft. Der Fall XBOW zeigt, dass selbst an der Spitze der Rangliste ein großer Teil der Menge nie zu einer Korrektur führt.

3. Dem Test-Agenten einen Rahmen und einen Verantwortlichen geben. Ein Agent, der selbstständig testet, kann auch selbstständig seinen Rahmen verlassen. Vertrag, technische Grenzen und eine namentlich benannte verantwortliche Person müssen vor dem ersten Scan feststehen, nicht erst nach dem ersten Schreck. Auf dieses Problem der Verantwortlichkeit komme ich im letzten Text der Serie zurück.

Die Frage für das nächste Angebot

Wenn das nächste Pentest-Angebot eintrifft, ob von einer Beratung oder einer autonomen Plattform, stellen Sie eine Frage: Wie viele von je 100 gelieferten Befunden hat jemand als in meiner Umgebung ausnutzbar bestätigt, und wer unterschreibt diese Bestätigung?

Die KI, die an die Spitze von HackerOne kam, schickte 1.060 Meldungen. Die Arbeit, die Geld wert war, bestand darin zu wissen, welche davon zählten.