OpenAI und die Umwelt, die KI erbt

Meine Freizeit verbringe ich auf unserer Farm in Pennsylvania: Gestrüpp roden, Wege anlegen, auf der Weide arbeiten. Eines lernt man dort schnell: Nichts wächst dort draußen perfekt nach einem Masterplan (so sehr ich es auch versuche). Der Wald ist das kumulierte Ergebnis von Jahrzehnten, in denen sich angesiedelt hat, was sich ansiedeln konnte, was die Rehe nicht gefressen haben, was die Stürme nicht umgeworfen haben oder wo der Vorbesitzer seine Holsteins weiden ließ. Er ist widerstandsfähig, aber wir haben ihn nicht geplant. An diesem Wochenende habe ich altes Weidegitter aus einem Baum geschnitten, der vollständig um den Draht herumgewachsen war. Es war nie Teil des Plans, aber der Baum hat einfach gegen das Hindernis weitergewachsen.

Organisationen entwickeln sich genauso. Die meisten Unternehmen haben ihre Systeme schrittweise aufgebaut, während sie unmittelbare Probleme lösten. Teams haben Zugriffe geteilt, um schneller voranzukommen, Mitarbeitende haben die Rolle gewechselt, aber ihre Berechtigungen behalten, und neue Kollaborationstools sind schneller aufgetaucht, als alte verschwunden sind. Mit der Zeit haben sich Zugriffsbeziehungen schneller angehäuft, als die meisten Organisationen sie kontinuierlich verwalten konnten.

Jahrelang hat dieses Wuchern Risiken mit sich gebracht, aber auch einen unbeabsichtigten Vorteil: Die Komplexität, die sensible Daten schwer zu verwalten machte, machte sie auch schwer zu finden. Angreifer hatten dieselben Grenzen wie Menschen. Sich in einer unaufgeräumten Umgebung zu bewegen, erforderte Zeit, Können und Geduld. Wir haben immer gesagt: „Obscurity ist keine Sicherheit." Wie sich herausstellt, war sie es doch, zumindest ein bisschen.

Neuere KI-Modelle beseitigen den Großteil dieser Verschleierung. Dieser Wandel ist der Grund, warum Netwrix dem Daybreak-Programm von OpenAI beigetreten ist. Es gibt einer kleinen Gruppe von Sicherheitsverteidigern frühen Zugang zu Frontier-Modellen, ohne dieselben Leitplanken, die Bereitstellungen für den allgemeinen Gebrauch einschränken. Der Sinn der Teilnahme an einem Programm wie Daybreak geht über den Zugang zu einem besseren Modell hinaus. Es ist die Chance, vor dem breiteren Markt zu verstehen, was diese Systeme tun, wenn man sie auf reale Umgebungen ansetzt.

Meine Freizeit verbringe ich auf unserer Farm in Pennsylvania: Gestrüpp roden, Wege anlegen, auf der Weide arbeiten. Eines lernt man dort schnell: Nichts wächst dort draußen perfekt nach einem Masterplan (so sehr ich es auch versuche). Der Wald ist das kumulierte Ergebnis von Jahrzehnten, in denen sich angesiedelt hat, was sich ansiedeln konnte, was die Rehe nicht gefressen haben, was die Stürme nicht umgeworfen haben oder wo der Vorbesitzer seine Holsteins weiden ließ. Er ist widerstandsfähig, aber wir haben ihn nicht geplant. An diesem Wochenende habe ich altes Weidegitter aus einem Baum geschnitten, der vollständig um den Draht herumgewachsen war. Es war nie Teil des Plans, aber der Baum hat einfach gegen das Hindernis weitergewachsen.

Organisationen entwickeln sich genauso. Die meisten Unternehmen haben ihre Systeme schrittweise aufgebaut, während sie unmittelbare Probleme lösten. Teams haben Zugriffe geteilt, um schneller voranzukommen, Mitarbeitende haben die Rolle gewechselt, aber ihre Berechtigungen behalten, und neue Kollaborationstools sind schneller aufgetaucht, als alte verschwunden sind. Mit der Zeit haben sich Zugriffsbeziehungen schneller angehäuft, als die meisten Organisationen sie kontinuierlich verwalten konnten.

Jahrelang hat dieses Wuchern Risiken mit sich gebracht, aber auch einen unbeabsichtigten Vorteil: Die Komplexität, die sensible Daten schwer zu verwalten machte, machte sie auch schwer zu finden. Angreifer hatten dieselben Grenzen wie Menschen. Sich in einer unaufgeräumten Umgebung zu bewegen, erforderte Zeit, Können und Geduld. Wir haben immer gesagt: „Obscurity ist keine Sicherheit." Wie sich herausstellt, war sie es doch, zumindest ein bisschen.

Neuere KI-Modelle beseitigen den Großteil dieser Verschleierung. Dieser Wandel ist der Grund, warum Netwrix dem Daybreak-Programm von OpenAI beigetreten ist. Es gibt einer kleinen Gruppe von Sicherheitsverteidigern frühen Zugang zu Frontier-Modellen, ohne dieselben Leitplanken, die Bereitstellungen für den allgemeinen Gebrauch einschränken. Der Sinn der Teilnahme an einem Programm wie Daybreak geht über den Zugang zu einem besseren Modell hinaus. Es ist die Chance, vor dem breiteren Markt zu verstehen, was diese Systeme tun, wenn man sie auf reale Umgebungen ansetzt.

KI verändert die Annahme

KI arbeitet nicht unter denselben Einschränkungen wie Menschen. Das zeigt sich bereits in Tools wie Copilot. Eine Person kann eine einfache Frage stellen und Gehaltsdaten, alte Projektdateien oder interne Berichte zutage fördern, von denen niemand erwartet hatte, dass sie wieder auftauchen. Die Informationen waren technisch erreichbar, aber die meisten Menschen hätten sie von selbst nie gefunden. Die Berechtigungen waren die ganze Zeit da, und KI hat sie leichter zugänglich gemacht. Die Sorge, die ich derzeit von fast jedem CISO höre, ist nicht, dass sich diese Modelle falsch verhalten. Sie ist, dass sie sich richtig verhalten und Vergütungsdaten, interne Berichte und sensible Projektinformationen zutage fördern, zu denen die Umgebung ihnen bereits Zugang gewährt hatte.

Frontier-Modelle wie Claude oder GPT-5.5 gehen noch weiter. Sie arbeiten denkend mit großen Informationsmengen, erkennen Muster, generieren und testen Code und verketten mehrere Aktionen, ohne bei jedem Schritt auf eine menschliche Eingabe zu warten. In einem Sicherheitskontext kann ein gut bereitgestelltes Frontier-Modell eine Codebasis auf Schwachstellen analysieren, prüfen, ob ein Befund ausnutzbar ist, und eine Behebung entwerfen. Damit komprimiert es Arbeit, die einst eine qualifizierte Analystin und Tage an Zeit erforderte, auf Minuten.

Genau diese Fähigkeit potenziert das Risiko in Umgebungen, in denen Zugriffe nie bereinigt wurden. Ein Servicekonto mit Berechtigungen aus drei Fusionen zuvor oder ein gemeinsam genutztes Administratorkonto, das niemand anfassen will, weil etwas kaputtgehen könnte. Das sind reale, häufige Probleme, und Frontier-KI verarbeitet sie genauso wie alles andere: schnell, in großem Maßstab und ohne die Reibung, die die Offenlegung früher verlangsamt hat. Das Projekt Glasswing von Anthropic hat gezeigt, wie das in der Praxis aussieht. Cloudflare hat in wenigen Wochen 2.000 Bugs in geschäftskritischen Systemen gefunden, davon 400 mit hohem oder kritischem Schweregrad, bei einer Falsch-Positiv-Rate, die besser war als die der eigenen menschlichen Tester. Mozilla hat 271 Schwachstellen in Firefox 150 gefunden und behoben, mehr als 10-mal so viele wie in der vorherigen Version. Die Glasswing-Partner haben in einem einzigen Monat zusammen über zehntausend Schwachstellen mit hohem oder kritischem Schweregrad zutage gefördert.

Was das für Sicherheitsverantwortliche bedeutet

Die Antwort lautet: die Umgebung verwalten, bevor man irgendetwas daran anbindet. Die Kernfragen sind alte: Wer hat Zugriff, warum hat er ihn und ergibt das noch Sinn? Neu ist die Dringlichkeit, sie zu beantworten. Hier sind die Ansatzpunkte:

• Behandeln Sie KI-Agenten wie privilegierte Identitäten. Sobald sich ein Frontier-Modell über APIs oder Orchestrierungsschichten mit Ihrer Umgebung verbindet, erbt es Berechtigungen und handelt auf deren Grundlage. Wenden Sie dieselben Kontrollen an, die Sie auf ein privilegiertes menschliches Konto anwenden würden: den Umfang begrenzen, Aktivitäten protokollieren und die Zugriffe überprüfen, wenn sich die Rolle ändert.
• Priorisieren Sie zuerst Ihre risikoreichste Angriffsfläche. Eine vollständige Zugriffsüberprüfung in einer großen Organisation kostet Zeit, die Sie vor der Inbetriebnahme von KI-Werkzeugen möglicherweise nicht haben. Konzentrieren Sie sich auf die Konten und Datenspeicher mit der höchsten Gefährdung: Administrator-Zugangsdaten, Repositorien mit sensiblen Daten sowie Servicekonten mit weitem Umfang und unklarer Verantwortung.
• Führen Sie jetzt ein KI-spezifisches Zugriffsaudit durch. Bevor Sie eine KI-Integration ausweiten, kartieren Sie, worauf das System tatsächlich zugreifen kann. Nicht das, worauf es zugreifen sollte. Sondern das, worauf es mit den aktuellen Berechtigungen zugreifen kann. Die Lücke ist fast immer größer als erwartet.
• Warten Sie nicht auf die Datenklassifizierung. KI unterscheidet nicht zwischen Daten, die breit zugänglich sein sollen, und Daten, die im Lauf der Zeit Zugriffe angehäuft haben. Zu wissen, wo Ihre sensiblen Informationen liegen und wer auf sie zugreifen kann, ist eine unverzichtbare Vorarbeit für einen sicheren KI-Einsatz, kein Bonus, der danach kommt.

Was das für Sicherheitsverantwortliche bedeutet

Die Antwort lautet: die Umgebung verwalten, bevor man irgendetwas daran anbindet. Die Kernfragen sind alte: Wer hat Zugriff, warum hat er ihn und ergibt das noch Sinn? Neu ist die Dringlichkeit, sie zu beantworten. Hier sind die Ansatzpunkte:

• Behandeln Sie KI-Agenten wie privilegierte Identitäten. Sobald sich ein Frontier-Modell über APIs oder Orchestrierungsschichten mit Ihrer Umgebung verbindet, erbt es Berechtigungen und handelt auf deren Grundlage. Wenden Sie dieselben Kontrollen an, die Sie auf ein privilegiertes menschliches Konto anwenden würden: den Umfang begrenzen, Aktivitäten protokollieren und die Zugriffe überprüfen, wenn sich die Rolle ändert.
• Priorisieren Sie zuerst Ihre risikoreichste Angriffsfläche. Eine vollständige Zugriffsüberprüfung in einer großen Organisation kostet Zeit, die Sie vor der Inbetriebnahme von KI-Werkzeugen möglicherweise nicht haben. Konzentrieren Sie sich auf die Konten und Datenspeicher mit der höchsten Gefährdung: Administrator-Zugangsdaten, Repositorien mit sensiblen Daten sowie Servicekonten mit weitem Umfang und unklarer Verantwortung.
• Führen Sie jetzt ein KI-spezifisches Zugriffsaudit durch. Bevor Sie eine KI-Integration ausweiten, kartieren Sie, worauf das System tatsächlich zugreifen kann. Nicht das, worauf es zugreifen sollte. Sondern das, worauf es mit den aktuellen Berechtigungen zugreifen kann. Die Lücke ist fast immer größer als erwartet.
• Warten Sie nicht auf die Datenklassifizierung. KI unterscheidet nicht zwischen Daten, die breit zugänglich sein sollen, und Daten, die im Lauf der Zeit Zugriffe angehäuft haben. Zu wissen, wo Ihre sensiblen Informationen liegen und wer auf sie zugreifen kann, ist eine unverzichtbare Vorarbeit für einen sicheren KI-Einsatz, kein Bonus, der danach kommt.

Wohin das führt

Die Organisationen, die bei Frontier-KI am schnellsten vorangehen, scheinen bereits verstanden zu haben, dass das Verwalten der Umgebung genauso wichtig ist wie die Wahl des richtigen Modells. Anthropic hat den Zugang zu seinem leistungsstärksten Modell, Claude Mythos, auf einen kleinen Kreis von Glasswing-Partnern beschränkt. OpenAI hat Daybreak nach demselben Prinzip aufgebaut. Netwrix gehört zu dieser Gruppe, weil die Fragen, auf die Daybreak Antworten geben soll, worauf eine KI zugreifen kann und ob das, worauf sie zugreift, eine Rolle spielt, dieselben Fragen sind, an denen wir seit 20 Jahren arbeiten.

Die Zugriffskontrollen und die Governance-Arbeit, die diese Programme vor dem Einsatz verlangen, spiegeln etwas wider, das diese Organisationen früh gelernt haben: Der Wert von Frontier-KI skaliert mit der Qualität der Umgebung, in der sie arbeitet. Ein Modell mit breiter Denkfähigkeit, das über eine gut verwaltete Identitäts- und Dateninfrastruktur arbeitet, ist ein echter Kraftmultiplikator für Sicherheitsteams. Dasselbe Modell, das über Jahre angehäufte, nicht überprüfte Zugriffe arbeitet, erzeugt eine Gefährdung in einer Geschwindigkeit und einem Maßstab, die im Nachhinein schwer einzudämmen sind.

Die Modelle sind bereits da. Zu entscheiden, worauf sie zugreifen können, liegt bei Ihnen.

Referenzen

1. OpenAI, "Daybreak"

2. OpenAI, "Introducing Trusted Access for Cybersecurity"

3. Microsoft, “Konfigurieren Sie eine sichere und verwaltete Grundlage für Microsoft 365 Copilot”