Cisco setzt auf KI-Modelle gegen Cyberangriffe

Der US-Konzern Cisco hat in einem Interview Einblicke in sein Projekt Glasswing gegeben, bei dem sogenannte Frontier-KI-Modelle zur Analyse von Sicherheitslücken eingesetzt werden. Anders als herkömmliche Scanner würden diese Modelle den Kontext verstehen und erkennen, wie mehrere kleinere Schwachstellen in Kombination einen kritischen Angriffspfad öffnen können.

Die größte Erkenntnis sei gewesen, dass die Summe einzelner Sicherheitsprobleme gefährlicher sei als jedes Teil für sich, heißt es von Cisco. Während klassische Bewertungssysteme isolierte Schwachstellen mit niedrigen CVE-Scores identifizieren, könnten KI-Modelle diese zu Angriffsketten verknüpfen, die sonst nie priorisiert worden wären.

Acht Jahre Forschung in acht Wochen

Im Rahmen von Project Glasswing habe Cisco nicht nur Code gescannt, sondern die Modelle darauf trainiert, die spezifischen Cisco-Frameworks zu verstehen. Durch paralleles Laufenlassen der Modelle sei die Zeitspanne, die ein menschliches Team für manuelle Analysen benötigt hätte, drastisch verkürzt worden. Das Ergebnis sei ein Foundry Security Spec, das als Blueprint für die gesamte Branche veröffentlicht wurde.

Cisco arbeitet dabei sowohl mit Anthropic als auch mit OpenAI zusammen. Jedes KI-Modell habe blinde Flecken, durch die Nutzung beider Anbieter werde eine höhere Abdeckung erreicht, so die Begründung.

Live Protect als Brücke statt Patch

Als konkrete Maßnahme hat Cisco Live Protect entwickelt – einen gezielten Schutzschild direkt im Kernel von Betriebssystemen wie NX-OS. Das System sei explizit kein Patch, sondern eine kompensierende Sicherheitsmaßnahme, betont das Unternehmen. Während ein Patch den fehlerhaften Code dauerhaft korrigiere, lege Live Protect einen temporären Schutz an, ohne dass ein Neustart erforderlich sei.

Das Zeitfenster zwischen der Entdeckung einer Schwachstelle und deren Ausnutzung durch KI-gestützte Angreifer sei auf wenige Stunden geschrumpft. Ein klassischer Patch-Zyklus dauere jedoch oft Tage oder Wochen. Live Protect schließe diese Lücke sofort und werde automatisch entfernt, sobald der offizielle Patch eingespielt sei.

Derzeit ist die Technologie auf Nexus 9000 Switches verfügbar, für 2027 sei eine Ausweitung auf Catalyst-Switches, Identity Services Engine und Secure Firewalls geplant.

Identitäten statt klassisches Patching

Cisco investiert massiv in Identity Security für Menschen, Maschinen und KI-Agenten. Angreifer würden heute als „living-off-the-land“ agieren und keine Malware nutzen, sondern legitime Anmeldedaten. Wenn ein Angreifer erst einmal im System sei, bewege er sich mit validen Rechten. Die Absicherung von Identitäten, insbesondere von nicht-menschlichen Identitäten wie Service-Accounts und KI-Agenten, sei der einzige Weg, diese Bewegung zu unterbinden.

Das Unternehmen habe sich von der bloßen CVE-Zählung verabschiedet. Ein CVE-Score sage wenig über die reale Welt aus. Mit Cisco IQ werde nun geprüft, ob eine verwundbare Funktion auf einem Gerät überhaupt erreichbar sei. Wenn ein Gerät nicht mit dem Internet verbunden sei oder die betroffene Funktion deaktiviert sei, sinke die Priorität.

Drei Maßnahmen für die nächsten 90 Tage

Cisco empfiehlt IT-Verantwortlichen drei konkrete Schritte, um sich auf KI-beschleunigte Angriffe vorzubereiten:

• Inventarisierung: Ohne eine vollständige Übersicht über alle Assets inklusive Schatten-IT sei Verteidigung unmöglich.
• Segmentierung: Wenn nicht alles sofort gepatcht werden könne, müsse die Angriffsfläche durch Kontrolle des East-West-Traffics so weit eingegrenzt werden, dass ein Angreifer nicht weiterkomme.
• Routine: Patching müsse so „langweilig“ wie möglich werden. Durch die 7-Tage-Vorankündigung von Cisco könnten Kunden ihre Wartungsfenster präzise planen.

Rolle von Systemintegratoren

Die Komplexität der Cisco-Architektur erfordere Experten, die verschiedene Komponenten zu einem Ganzen zusammenfügen, heißt es im Interview. Partner wie NTS würden als „Operational Partner“ fungieren und sicherstellen, dass die von Cisco gelieferten Daten auch tatsächlich in automatisierte Workflows übersetzt werden. Ein Partner überbrücke die Lücke zwischen der Identifizierung eines Risikos und dessen Neutralisierung.

Bis Jahresende erwarte Cisco eine Intensivierung der Lage. Die Zusammenarbeit mit Partnern werde sich dahin entwickeln, dass diese nicht mehr nur Hardware liefern, sondern als Managed Security Service-Partner den Betrieb der Sicherheitsinfrastruktur übernehmen.

In der Produktentwicklung habe Cisco das „Shift-Left“-Prinzip radikalisiert. Durch Project CodeGuard würden KI-Agenten, die bei der Softwareentwicklung helfen, so trainiert, dass sie „Secure-by-Default“-Regeln anwenden. Die Entstehung von Sicherheitslücken solle bereits in der Entwicklungsumgebung verhindert werden, anstatt nur nach der Kompilierung zu scannen.

„You can't outpace AI-era threats using legacy processes or legacy technology. What's needed is a continuous operating rhythm […] patching becomes an ongoing rhythm instead of a fire drill“, zitiert Cisco aus dem Projekt.

Quelle: https://www.nts.eu/news/cisco-project-glasswing