Schwachstellen-Meldungen erreichen 10.740 pro Monat, während KI-Agenten die Exploits schreiben

Die Zahl stammt aus einem GTIG-Bericht vom 30. September. Laut dem Team begann das Jahr im Januar mit 5.045 Meldungen und überschritt im Juli und August jeweils die Marke von 10.000. In diesen acht Monaten wurden mehr verschiedene Schwachstellen gemeldet und ausgenutzt als im gesamten Jahr 2025, so die Forscher.

Das ist die Angebotsseite. Die Nachfrageseite ist schlimmer. In diesem Jahr wurden bislang 141 ausgenutzte Schwachstellen registriert, gegenüber 127 im gesamten vergangenen Jahr, fand GTIG heraus.

Angreifer bewaffnen Patches, nicht Zero-Days

Der Mechanismus ist wichtiger als die Schlagzeile. GTIG zufolge geht der Anstieg von 2026 auf "die schnelle, gezielte Bewaffnung hochriskikanter Exploits im Feld zurück und nicht auf eine Flut neuer Zero-Days". Zero-Days sind Fehler, die ausgenutzt werden, bevor ein Hersteller von ihnen weiß. N-Days sind bereits gepatcht und öffentlich. Der Bericht argumentiert, Angreifer fänden es billiger, Sprachmodelle auf den Unterschied zwischen zwei Produktversionen, auf Patch-Hinweise und auf veröffentlichten Proof-of-Concept-Code anzusetzen und daraus einen funktionierenden Exploit zu machen, statt für die ursprüngliche Fehlersuche zu bezahlen.

Kelli Vanderlee, eine leitende Analystin bei GTIG, sagte gegenüber The Record, KI-gestützte Entdeckung und Ausnutzung dürften kurz- bis mittelfristig weiter zunehmen. Sie definierte einen Fehler als hochriskant, wenn seine Ausnutzung Angreifern direkte Auswirkungen auf Zielgeräte und -netzwerke ermöglicht, ohne größere Schutzmaßnahmen überwinden zu müssen, und sagte, die Zuverlässigkeit der Ausnutzung sei voraussichtlich hoch und lasse sich typischerweise in großem Umfang erreichen.

Das durchgerechnete Beispiel des Berichts ist CVE-2026-1731, eine BeyondTrust-Schwachstelle, auf die föderale Cyber-Verteidiger im Februar hingewiesen hatten. Google zufolge wurde der Fehler autonom von einem Research-Agenten eines Drittanbieters namens Hacktron AI gefunden. Innerhalb von vier Tagen nach der öffentlichen Offenlegung beobachtete GTIG ein Bedrohungscluster, das ihn ausnutzte; fünf weitere Cluster folgten binnen sieben Tagen. Diese Akteure, so die Forscher, weiteten anschließend Privilegien aus, exfiltrierten Daten und setzten sekundäre Payloads ab, darunter SNOWLIGHT, SPARKRAT und Kryptominer.

Ein großer Teil des Volumens ist wenig spektakulär. GTIG zufolge stammte vieles von dem, was in diesem Jahr gemeldet wurde, von einer Handvoll Hersteller, genannt wurden der Router-Firmware-Hersteller Totolink und Oracle. Autonome Research-Agenten, auf kritische Angriffsflächen angesetzt, "zeigen eine gewaltige Fähigkeit, hochgradig schwerwiegende Fehler aufzudecken", schrieben die Forscher.

Leitplanken kommen als Open Source

Die defensive Antwort im Dossier ist überwiegend Open Source und überwiegend jung. OpenAPPA, am 30. September auf GitHub veröffentlicht, sitzt zwischen einem Agenten und seinen Werkzeugen und beantwortet vor jeder Aktion eine Frage: Darf diese Information an diesen Empfänger gehen? Seine Richtlinie ist deklaratives TOML, und das Projekt erklärt, die Engine entscheide allein aus dem Ereignisprotokoll und mache keine Netzwerk- oder Dateiaufrufe, sodass dasselbe Protokoll stets dieselbe Entscheidung erzeugt. Es meldet keinen erfolgreichen gewerteten Angriff bei 1.320 Bewertungen, während es 88 bis 90 Prozent der Aufgaben in zwei Benchmarks erledigt, gegenüber 28 bis 35 Prozent erfolgreicher Angriffe bei Microsoft FIDES und zehn, die den Auto-Modus von Claude Code überwanden.

UAI, ebenfalls am 30. September veröffentlicht, geht einen anderen Weg: Identität, Autorisierung und signierte Handlungsnachweise für Agenten, mit föderierten Registern nach dem Vorbild von BGP. Das eigene README ist vorsichtig mit dem, was es nicht behauptet. "UAI behauptet nicht, dass ein KI-Agent sicher ist", heißt es darin, nur dass Handlungen zurechenbar und unabhängig überprüfbar werden.

Es gibt einen Grund, warum die Werkzeuge jetzt auftauchen. Googles Bericht fällt in einen Monat, in dem die FTC eine branchenweite Untersuchung gegen OpenAI, Anthropic und andere Labore eröffnete, am 30. September von CNBC bestätigt, nachdem die New York Post zuerst darüber berichtet hatte, und in dem eine gemeinnützige Organisation namens Legal Advocates for Safe Science & Technology OpenAI vor dem San Francisco County Superior Court wegen des Hugging-Face-Einbruchs im Juli verklagte. Ars Technica berichtete über das Argument von LASST, Kaliforniens Computergesetz greife unabhängig davon: "Es spielt keine Rolle, dass ein Schwarm von KI-Agenten diesen Cyberangriff ausgeführt hat."

OpenAI seinerseits erklärt, das Training seiner leistungsfähigsten Modelle ausgesetzt zu haben, und prüfe Agentenprotokolle bis zurück in den Januar 2026. Mark Chen, sein Chief Research Officer, sagte gegenüber MIT Technology Review, die Vorfälle gehörten zu einem Cluster im Mai und Juni und das Unternehmen lege "den vollständigen Wasserfall dessen, was geschehen ist" offen. Floridas Generalstaatsanwalt wartet nicht: Tom's Hardware berichtete am 30. September, James Uthmeier habe eine einstweilige Verfügung beantragt, um OpenAI zu untersagen, neue Modelle ohne unabhängige Genehmigung durch Dritte zu entwickeln.

Die Open-Source-Rechnung wird fällig

Nichts davon bleibt in den Laboren. OpenSSL veröffentlichte eine Sicherheitsmitteilung zu CVE-2026-84782, einer schwerwiegenden DTLS-Schwachstelle, die Heap-Speicher preisgeben kann, und LiteLLM legte eine Privilegienausweitung zum Proxy-Administrator und entfernte Codeausführung in GHSA-7hp6-4w63-5g45 offen. Beides sind Abhängigkeiten, die Tausende interne Agenten-Stacks still erben.

Der Anreiz zu patchen ist nicht mit dem Anreiz anzugreifen mitgewachsen. GTIGs eigene Formulierung ist der unbequeme Teil: Der Engpass ist nicht mehr das Finden von Fehlern, sondern die Lücke zwischen Offenlegung und Ausnutzung, und dieses Fenster wird heute in Tagen gemessen.