Wenn die KI zum Hacker wird: Wie künstliche Intelligenz reihenweise Sicherheitslücken aufspürt

Frankfurt/San Francisco. Es klingt nach Science-Fiction, ist aber Realität: Künstliche Intelligenz findet inzwischen im Alleingang Sicherheitslücken in Software, an denen sich menschliche Fachleute jahrelang die Zähne ausgebissen haben. Der bekannteste Fall betrifft ausgerechnet den Browser Firefox – und er zeigt, dass eine neue Ära der Cybersicherheit begonnen hat, mit gewaltigen Chancen und ebenso großen Risiken.

Hunderte Lücken in einem der bestgeprüften Browser

Der Browser-Hersteller Mozilla ließ die KI Claude des Unternehmens Anthropic auf den Firefox-Programmcode los – mit verblüffendem Ergebnis. Zunächst spürte die KI 22 Sicherheitslücken auf, die Mozilla im Frühjahr schloss. In einem zweiten Durchgang mit einem noch leistungsfähigeren Modell fand die künstliche Intelligenz sogar 271 bislang unbekannte Schwachstellen auf einmal, darunter teils bis zu 20 Jahre alte Fehler.

Das ist deshalb so bemerkenswert, weil Firefox seit über zwei Jahrzehnten als einer der am gründlichsten geprüften Browser der Welt gilt. Trotzdem übersah die menschliche Kontrolle offenbar Dutzende kritische Lücken – die KI fand die erste davon nach nur 20 Minuten.

Firefox-Technikchef Bobby Holley beschrieb die Reaktion seines Teams als eine Art Schwindelgefühl. Zugleich zog er ein überraschend optimistisches Fazit: Zum ersten Mal hätten die Verteidiger eine echte Chance, das Rennen zu gewinnen. Bislang war es nämlich so, dass Angreifer nur eine einzige Lücke finden mussten, während die Verteidiger sämtliche Löcher stopfen mussten. Wenn eine KI nun in kurzer Zeit hunderte Schwachstellen aufdeckt, kehrt sich dieser Nachteil um.

KI findet Lücken sogar in Behörden-Systemen

Es blieb nicht bei Firefox. Nach Informationen der Nachrichtenagentur AP fand ein besonders leistungsfähiges KI-Modell bei Tests mit US-Geheimdiensten sogar Schwachstellen in hochsensiblen Regierungssystemen – teilweise innerhalb weniger Stunden. Dieses Modell gilt als so mächtig, dass Anthropic es gar nicht frei zugänglich macht, sondern nur ausgewählten Partnern und Behörden zur Verfügung stellt.

Und Anthropic ist längst nicht allein. Auch Google hat mit seinem KI-System "Big Sleep" bereits echte, bis dahin unbekannte Sicherheitslücken entdeckt, teils kurz bevor Kriminelle sie ausnutzen konnten. OpenAI, das Unternehmen hinter ChatGPT, arbeitet an einem ähnlichen KI-Sicherheitsforscher. Und ein autonomes Hacker-Werkzeug namens XBOW schaffte es 2025 als erste Maschine an die Spitze einer amerikanischen Bestenliste für Schwachstellen-Jäger – vor allen menschlichen Konkurrenten.

Die gefährliche Kehrseite

So nützlich das für die Verteidigung ist – dieselbe Fähigkeit lässt sich auch missbrauchen. Genau davor warnen Fachleute. Denn was Lücken schneller schließen hilft, hilft Angreifern auch, sie schneller zu finden und auszunutzen.

Anthropic selbst machte im vergangenen November einen Fall öffentlich, bei dem eine mutmaßlich staatlich gesteuerte Hackergruppe die KI manipulierte, um rund 30 Ziele weltweit anzugreifen – von Technologiekonzernen bis zu Behörden. Das Besondere: Die KI erledigte den Großteil der Angriffsarbeit selbstständig, Menschen mussten nur an wenigen Stellen eingreifen. In einigen Fällen gelang der Einbruch tatsächlich.

Die Zahlen zeigen, wie sich das Tempo verschärft hat: Dauerte es früher im Schnitt noch Jahre von der Entdeckung einer Lücke bis zu einem funktionierenden Angriffswerkzeug, sind es heute mitunter nur noch wenige Stunden.

"Neue Zeitrechnung der Cybersicherheit"

Auch in Deutschland sind die Behörden alarmiert. Die Präsidentin des Bundesamts für Sicherheit in der Informationstechnik (BSI), Claudia Plattner, sprach von einer "neuen Zeitrechnung der Cybersicherheit" und warnte, die kommenden Jahre würden "sehr holprig und unruhig", weil durch KI mit deutlich mehr Cyberangriffen zu rechnen sei. Schon jetzt kämen im Schnitt rund 120 neue Schwachstellen pro Tag ans Licht.

Für ganz normale Nutzerinnen und Nutzer bedeutet das vor allem eines: Updates nicht mehr aufschieben. Weil nun deutlich mehr Sicherheitslücken gefunden und in immer kürzeren Abständen geschlossen werden, ist das sofortige Einspielen von Aktualisierungen – gerade beim Browser – so wichtig wie nie. Denn im Wettlauf zwischen Angreifern und Verteidigern zählt am Ende jede Stunde.