![\"\"](\"https:\/\/www.europesays.com\/de\/wp-content\/uploads\/2026\/06\/Screenshot-2026-06-14-at-08-52-39-SEO-optimierte-Textaufbereitung-fuer-Online-Magazine-Claude.png\")
<\/a><\/p>\nWenn Regierungen \u00fcber den Einsatz von KI in der Cybersicherheit sprechen, bleibt es h\u00e4ufig bei Absichtserkl\u00e4rungen. Das britische Government Cyber Coordination Centre (GC3) \u2013 eine gemeinsame Einrichtung des National Cyber Security Centre (NCSC) und des Ministeriums f\u00fcr Wissenschaft, Innovation und Technologie \u2013 hat hingegen einen anderen Weg gew\u00e4hlt: ausprobieren, messen, auswerten.<\/strong><\/p>\nIm Rahmen des Government Cyber Action Plan f\u00fchrte das GC3 \u00fcber mehrere Wochen w\u00f6chentliche Hackathons durch. Teams aus Spezialisten des AISI und des NCSC scannten \u00f6ffentlich zug\u00e4ngliche Code-Repositorys britischer Beh\u00f6rden mithilfe aktueller KI-Modelle \u2013 mit dem Ziel, Schwachstellen zu finden, bevor Angreifer es tun.<\/strong><\/p>\nWarum \u00f6ffentlicher Code ein geeignetes Testfeld ist<\/strong><\/p>\nDie britische Regierung verfolgt die Leitlinie, neuen Quellcode standardm\u00e4\u00dfig offen zu ver\u00f6ffentlichen. Das schafft Transparenz, erm\u00f6glicht externe Pr\u00fcfung und reduziert Doppelarbeit. Es bedeutet aber auch, dass potenziell Angreifer denselben Code einsehen k\u00f6nnen. Gleichzeitig eignet sich \u00f6ffentlich gepr\u00fcfter Code besonders gut f\u00fcr Pilotprojekte dieser Art:<\/strong> Er kann ohne zus\u00e4tzlichen Datenschutzaufwand an externe Modell-Anbieter weitergegeben werden.<\/p>\n\n\u201eDie Architektur ist entscheidend \u2013 nicht das Modell.\u201c <\/strong>Kernaussage des GC3-Berichts<\/p>\n<\/blockquote>\nDrei unterschiedliche Ans\u00e4tze, ein gemeinsames Prinzip<\/strong><\/p>\nDie teilnehmenden Teams entwickelten eigene Pipelines. Drei Ans\u00e4tze stachen hervor:<\/p>\n
Adversarielle Agenten-Pipeline<\/strong><\/p>\nJedes Repository durchlief sechs KI-Stufen:<\/strong> Triage, Validierung, Pr\u00fcfung, R\u00fcckverfolgung, Bewertung und Zusammenfassung. Jede Stufe hinterfragte die Ergebnisse der vorherigen. Die Eskalation blieb manuell \u2013 ein Mensch pr\u00fcfte jeden Befund.<\/strong><\/p>\nScanner als Grundlage, Modell als Analyse<\/strong><\/p>\nTraditionelle Tools (Gitleaks, Trivy, Semgrep, Hadolint) lieferten priorisierte Rohdaten. Darauf setzten drei Modellstufen auf: Erkennung anhand von OWASP- und CWE-Frameworks, Verkn\u00fcpfung von Einzelbefunden zu Angriffspfaden und abschlie\u00dfende Triage.<\/p>\n
Wiederverwendbare Skills f\u00fcr ganze Organisationen<\/strong><\/p>\nEine Abteilung kodifizierte f\u00fcnf dom\u00e4nenspezifische Pr\u00fcf-Skills, die konsistent \u00fcber Hunderte von Diensten und verschiedene Betreiber hinweg eingesetzt werden konnten.<\/p>\n
Was die Teams tats\u00e4chlich fanden<\/strong><\/p>\nInsgesamt identifizierten die Teams 407 Befunde.<\/strong> Darunter waren Schwachstellen, die Dienste f\u00fcr unbefugten Zugriff auf Authentifizierungssysteme, die Offenlegung von Daten und die Ausf\u00fchrung von Fremdcode verwundbar machten. Einige waren den Beh\u00f6rden bereits bekannt und durch Gegenma\u00dfnahmen abgemildert. Andere waren zuvor nicht dokumentiert. Alle als ausnutzbar eingestuften Probleme wurden behoben. F\u00fcr keinen Befund gab es Hinweise auf eine aktive Ausnutzung.<\/p>\nBesonders deutlich wurde der Mehrwert gegen\u00fcber herk\u00f6mmlichen Scannern bei der Verfolgung von Schwachstellen \u00fcber Servicegrenzen hinweg.<\/strong> Klassische Tools pr\u00fcfen in der Regel isoliert \u2013 KI-Modelle konnten Zusammenh\u00e4nge zwischen Gesch\u00e4ftslogik und technischen Details herstellen.<\/p>\nEin konkretes Beispiel:<\/strong> In einem Repository, das einen \u00f6ffentlich zug\u00e4nglichen digitalen Dienst unterst\u00fctzt, fanden die Teams veraltete GitHub Actions. Die Konfiguration erlaubte es einem externen Nutzer, durch einen speziell formulierten Kommentar in einem offenen Pull-Request eine Workflow-Kette auszul\u00f6sen. Da der Ausl\u00f6ser ein Kommentar war \u2013 nicht die Pull-Request selbst \u2013, griffen die \u00fcblichen Schutzma\u00dfnahmen nicht. Das Ergebnis: beliebige Code-Ausf\u00fchrung auf dem GitHub-Actions-Runner, potenzieller Zugriff auf gespeicherte Zugangsdaten und die M\u00f6glichkeit, weitere Aktionen im Repository auszul\u00f6sen.<\/p>\nWas das Projekt gelehrt hat<\/strong><\/p>\nArchitektur schl\u00e4gt Modellwahl<\/strong><\/p>\nDie st\u00e4rksten Ergebnisse entstanden nicht durch den Einsatz des leistungsf\u00e4higsten Modells, sondern durch klar definierte Aufgabenverteilung innerhalb einer strukturierten Pipeline. Viele aktuelle Frontier-Modelle liefern bei Code-Audits mit der richtigen Struktur vergleichbare Resultate.<\/p>\n
Triage bleibt Engpass<\/strong><\/p>\nKI-Agenten erzeugen potenzielle Befunde weit schneller, als menschliche Teams sie pr\u00fcfen k\u00f6nnen. Ohne klare Vorab-Eingrenzung und interne Filterung mit geringer Konfidenz werden Sicherheitsteams \u00fcberlastet. Entscheidend ist nicht die Menge der gefundenen Probleme, sondern ob die begrenzte menschliche Kapazit\u00e4t dort eingesetzt wird, wo der gr\u00f6\u00dfte Handlungsbedarf besteht.<\/p>\n
Finden und Beheben sind zwei Schritte<\/strong><\/p>\nAuch nach der Identifikation einer Schwachstelle muss der Befund in die bestehende Patch-Pipeline integriert werden. KI kann bei der Priorisierung und Patch-Generierung unterst\u00fctzen \u2013 die eigentliche Korrektur erfordert jedoch weiterhin abgestimmte, menschengef\u00fchrte Prozesse.<\/p>\n
Wie es weitergeht<\/strong><\/p>\nDas GC3 plant eine zweite Phase des Pilotprojekts. Mehr Beh\u00f6rden, weitere Modelle und eine Ausweitung auf nicht-\u00f6ffentliche Codebases sollen den Rahmen vergr\u00f6\u00dfern. AISI und NCSC werden dabei tiefer eingebunden. Ziel ist es, die L\u00fccke zwischen Labor-Benchmarks und tats\u00e4chlicher Risikominderung weiter zu schlie\u00dfen \u2013 und Erkenntnisse \u00fcber Abteilungsgrenzen hinweg zug\u00e4nglich zu machen.<\/p>\n
Das Pilotprojekt zeigt, dass der Wert von KI in der Cyberabwehr weniger von der Modellleistung abh\u00e4ngt als von der Frage, wie der Einsatz gestaltet wird: klare Abgrenzung, strukturierte Pipelines, menschliche Pr\u00fcfung an den richtigen Stellen.<\/p>\n
Redaktion AllAboutSecurity<\/p>\n
Bild\/Quelle: https:\/\/depositphotos.com\/de\/home.html<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"14. Juni 2026 Das britische Government Cyber Coordination Centre hat mehrere Wochen lang KI-Modelle auf \u00f6ffentliche Quellcode-Repositorys von…\n","protected":false},"author":2,"featured_media":1093339,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[3976],"tags":[331,332,13,24030,14,15,12,3992,3993,3994,3995,3996,3997],"class_list":["post-1093338","post","type-post","status-publish","format-standard","has-post-thumbnail","category-vereinigtes-koenigreich","tag-aktuelle-nachrichten","tag-aktuelle-news","tag-headlines","tag-ki-modelle","tag-nachrichten","tag-news","tag-schlagzeilen","tag-uk","tag-united-kingdom","tag-united-kingdom-of-great-britain-and-northern-ireland","tag-vereinigtes-koenigreich","tag-vereinigtes-koenigreich-grossbritannien-und-nordirland","tag-vereinigtes-koenigreich-von-grossbritannien-und-nordirland"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@de\/116747515212673218","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts\/1093338","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/comments?post=1093338"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts\/1093338\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/media\/1093339"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/media?parent=1093338"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/categories?post=1093338"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/tags?post=1093338"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}