Frontier-AI automatisiert komplexe Angriffsketten

Die leistungsfähigsten AI-Modelle können nicht mehr nur Programmcode erklären oder einzelne Sicherheitslücken markieren. Sie sind zunehmend in der Lage, Exploits zu entwickeln, mehrere Angriffsschritte miteinander zu verknüpfen und in simulierten Unternehmensnetzen bis zur vollständigen Übernahme vorzudringen. Eine Analyse der Bank für Internationalen Zahlungsausgleich (BIS) warnt deshalb vor einem möglichen "Mythos-Moment": einem Wendepunkt, an dem sich Cyberrisiken für Banken, Zahlungsverkehr und Finanzmarktinfrastrukturen schneller verändern, als etablierte Schutz- und Aufsichtsmechanismen reagieren können. Die Studie ist jedoch keine Untergangsprognose. Denn dieselben Modelle können Unternehmen und staatliche Behörden und Dienstleister helfen, Schwachstellen früher zu finden und zu schließen. Entscheidend ist, wer Zugang zu den leistungsfähigsten Werkzeugen erhält, welche Rechenressourcen verfügbar sind und ob die ökonomischen Anreize die Offensive oder die Defensive begünstigen.

Ein Weckruf aus dem Maschinenraum des Finanzsystems

Der Titel des BIS Bulletins spielt auf "Mythos" an, ein im April 2026 angekündigtes Frontier-Modell mit besonders ausgeprägten Fähigkeiten in der Cybersicherheit. Die Autoren fragen, ob dessen Leistungsniveau einen qualitativen Sprung markiert: weg von AI als Assistenzsystem und hin zu Werkzeugen, die komplexe Angriffe mit begrenzter menschlicher Steuerung vorbereiten und durchführen können. Die Frage ist für den Finanzsektor besonders brisant. Banken, Börsen, Clearinghäuser und Zahlungsplattformen zählen zu den am stärksten angegriffenen und zugleich am dichtesten vernetzten Bereichen der Wirtschaft. Sie basieren auf langen Ketten aus proprietärer Software, Open-Source-Komponenten, Cloud-Diensten und spezialisierten Drittanbietern. Eine einzelne Schwachstelle kann sich deshalb über gemeinsame technische Abhängigkeiten auf viele Institute übertragen.

Die Studie beschreibt keinen bereits eingetretenen Systemschock. Sie analysiert vielmehr die Kanäle, über die Frontier-AI die Geschwindigkeit, den Umfang und die Komplexität von Cyberangriffen verändern könnte. Ihre Kernthese lautet: Die Technologie stärkt beide Seiten, doch die Kostenstruktur ist nicht symmetrisch. Ein Angreifer benötigt nur einen funktionierenden Zugang; ein Verteidiger muss zahlreiche Systeme, Nutzer, Schnittstellen und Lieferketten dauerhaft schützen. Wenn AI vor allem die Suche nach dem einen erfolgreichen Pfad verbilligt, kann sich das Gleichgewicht trotz besserer Abwehrwerkzeuge zugunsten der Offensive verschieben.

Warum Cyberangriffe ein ideales Einsatzfeld für Frontier-AI sind

Viele reale Aufgaben sind für AI schwer, weil Ziele unklar, Informationen unvollständig und Erfolgskriterien mehrdeutig sind. Cyberoperationen besitzen dagegen häufig eine klar strukturierte Abfolge: Systeme erfassen, Zugangsdaten erlangen, Schwachstellen ausnutzen, Rechte ausweiten, seitliche Bewegungen im Netzwerk durchführen und Persistenz herstellen. Jeder Schritt erzeugt maschinenlesbare Rückmeldungen – Logdateien, Fehlermeldungen, Quellcode, Konfigurationsdaten oder Einträge in Schwachstellendatenbanken. Das Modell kann diese Informationen auswerten, den nächsten Schritt planen und unmittelbar prüfen, ob die Aktion erfolgreich war.

Genau diese engen Feedbackschleifen machen das Feld für leistungsfähige Sprach- und Reasoning-Modelle attraktiv. Der entscheidende Fortschritt besteht nicht darin, dass ein Modell eine einzelne bekannte Lücke erkennt. Kritisch wird die Fähigkeit, mehrere Teilschritte verlässlich zu verbinden, auf ein konkretes Ziel anzupassen und nach Rückschlägen eine alternative Route zu wählen. Im Sprachgebrauch der Cybersicherheit nähert sich das Modell damit einem Agenten: Es analysiert, entscheidet, handelt und korrigiert. Zugleich gilt die Logik spiegelbildlich für die Defensive. Auch Verteidiger können denselben strukturierten Prozess nutzen, um Angriffswege zu simulieren, Fehlkonfigurationen aufzuspüren und Patches zu priorisieren.

Vom Benchmark zur vollständigen Netzwerkübernahme

Als empirischen Ausgangspunkt nutzt die BIS unter anderem Bewertungen des britischen AI Security Institute. Dort müssen Modelle in "Capture-the-Flag"-Aufgaben absichtlich platzierte Schwachstellen finden und ausnutzen. Die Tests umfassen 95 eng definierte Aufgaben in vier Schwierigkeitsstufen. Mythos erreichte bei Aufgaben auf Expertenniveau eine Erfolgsquote von 68,6 Prozent. Das kurz darauf veröffentlichte GPT-5.5 lag mit 71,4 Prozent noch darüber.

Noch aussagekräftiger sind mehrstufige Angriffssimulationen in einer sogenannten Cyber Range. In dem 32-stufigen Szenario "The Last Ones" mussten die Modelle unter anderem Browser-Zugangsdaten stehlen, eine Webanwendung kompromittieren, Privilegien ausweiten, dauerhaften Zugriff etablieren und schließlich das gesamte Unternehmensnetz übernehmen. Mythos war das erste Modell, das in einem der Versuche sämtliche Stufen bewältigte; GPT-5.5 zeigte eine ähnliche Spitzenleistung. Die Durchschnittswerte über zehn Versuche lagen niedriger, was ein wichtiges Detail ist: Die Modelle sind noch nicht in jedem Durchlauf zuverlässig. Für Risikomanager und IT-Sicherheitsverantwortliche genügt jedoch bereits die Möglichkeit eines erfolgreichen End-to-End-Angriffs, um bestehende Annahmen über Reaktionszeiten und notwendige Schutzbarrieren zu hinterfragen.

Abb. 01: Frontier-AI-Modelle zeigen beeindruckende Fähigkeiten im Bereich Cybersicherheit [Quelle: Iñaki Aldasoro, Raphael Auer, Jon Frost und Fernando Pérez-Cruz (2026): "A Mythos moment? Frontier AI and cyber risk", BIS Bulletin No. 129, Graph 1, S. 2; Daten: AI Security Institute (2026)]

Benchmarks sind Warnsignale – aber keine exakten Prognosen

Die Ergebnisse sollten weder verharmlost noch unkritisch auf die reale Welt übertragen werden. Ein Benchmark mit absichtlich eingebauten Lücken, definierten Erfolgskriterien und hohem Token-Budget ist kontrollierter als ein Angriff auf ein unbekanntes produktives System. Reale Netze enthalten uneinheitliche Daten, defensive Überwachung, technische Sackgassen und organisatorische Hürden. Umgekehrt können echte Angreifer ihre Werkzeuge über längere Zeit vorbereiten, zusätzliche Datenquellen nutzen und mehrere Modelle kombinieren. Der wissenschaftlich belastbare Befund lautet deshalb nicht, dass autonome AI ab sofort jedes Unternehmen übernehmen kann. Er lautet, dass Frontier-Modelle eine Fähigkeitsschwelle erreicht haben, an der komplexe Angriffsketten nicht mehr nur theoretisch, sondern in realitätsnahen Simulationen demonstrierbar sind.

Der Preisverfall der Offensive

Eine technische Fähigkeit wird erst dann zum breiten Risiko, wenn sie wirtschaftlich nutzbar ist. Nach den Berechnungen der Studie benötigt eine vollständige Angriffskette ungefähr 100 Millionen Token. Für Claude Mythos Preview lagen die geschätzten Cloud-Kosten zum Zeitpunkt der Analyse bei rund 5.000 bis 10.000 US-Dollar pro Versuch. Andere Frontier-Modelle wie Claude Opus 4.8, Gemini 3.5 oder GPT-5.5 sollten ungefähr ein Fünftel kosten. Bei günstigeren Modellen wie Grok oder DeepSeek veranschlagt die BIS sogar nur etwa 50 bis 100 US-Dollar.

Diese Spanne zeigt, warum nicht nur die Spitzentechnologie relevant ist. Staatliche Akteure und große kriminelle Gruppen konnten schon bisher teure Spezialisten beschäftigen. Der strukturelle Wandel entsteht, wenn leistungsfähige Angriffskomponenten zu einem standardisierten, skalierbaren Dienst werden. Dann können auch weniger erfahrene Täter mehr Ziele prüfen, Angriffe parallelisieren und bekannte Techniken schneller an neue Systeme anpassen. Sinkende Preise verändern somit nicht zwangsläufig die Raffinesse des bestmöglichen Angriffs, wohl aber die Zahl potenzieller Angriffe und die Gruppe der Akteure, die sie durchführen kann.

Die neue Asymmetrie: Ein Weg hinein genügt

Der zentrale ökonomische Gedanke des Bulletins ist die asymmetrische Kostenverteilung. Verteidiger müssen jede kritische Anwendung, jede Identität, jede Schnittstelle und jede Lieferantenbeziehung kontinuierlich absichern. Angreifer benötigen dagegen nur eine belastbare Angriffskette. Frontier-AI kann auf beiden Seiten die Produktivität erhöhen, doch eine gleich schnelle Einführung erzeugt deshalb nicht automatisch ein Gleichgewicht. Werden Suche, Exploit-Entwicklung und Anpassung billiger, steigt der Druck auf die Defensive überproportional. Mehr und schnellere Angriffe bedeuten mehr Rechenbedarf für Überwachung, Erkennung und Reaktion - und damit wachsende laufende Kosten.

Die entscheidende Größe ist daher nicht allein die Leistungsfähigkeit eines Modells, sondern die Verteilung des Zugangs. Erhalten Banken, Betreiber kritischer Infrastruktur und Sicherheitsbehörden frühzeitig Zugriff auf Frontier-Modelle, können sie Codebestände systematisch prüfen und Schwachstellen schließen, bevor offensive Akteure sie ausnutzen. Bleibt der Zugang zur defensiven Nutzung langsam, fragmentiert oder rechtlich ungeklärt, verlängert sich das Zeitfenster zwischen Entdeckung und Behebung - bei gleichzeitig verkürzter Zeit bis zum Angriff.

Mehr gefundene Schwachstellen: Fortschritt und Warnsignal zugleich

Die Studie sucht in öffentlichen Daten nach ersten Spuren dieser neuen Dynamik. Besonders auffällig ist die Zahl der Sicherheitskorrekturen im Firefox-Browser: Nach der Ankündigung von Mythos Preview stieg die monatliche Zahl der Bugfixes laut BIS ungefähr auf das Sechsfache. Das lässt sich zunächst positiv lesen. Leistungsfähigere Werkzeuge helfen offenbar, Fehler schneller zu entdecken und zu beseitigen.

Parallel beschleunigte sich die Veröffentlichung besonders kritischer Common Vulnerabilities and Exposures, kurz CVEs. Zwischen 2018 und 2021 wurden im Durchschnitt etwa sieben kritische Schwachstellen pro Tag gemeldet, zwischen 2022 und 2025 rund zehn. Nach dem 1. April 2026 lag der Wert zeitweise bei fast 20 pro Tag. Als kritisch gelten in der Analyse Lücken mit einem CVSS-Wert von mindestens 9,0 - also Fehler, die vergleichsweise leicht ausnutzbar sind und sehr schwere Folgen haben können.

Abb. 02: Sicherheitskorrekturen und die Zahl gemeldeter kritischer Schwachstellen steigen deutlich [Quelle: Aldasoro et al. (2026), Graph 2, S. 4; Daten: Firefox-Sicherheitskorrekturen, NIST National Vulnerability Database]

Korrelation ist noch keine Kausalität

Gerade diese Daten verlangen eine vorsichtige Interpretation. Eine steigende Zahl veröffentlichter CVEs kann bedeuten, dass tatsächlich mehr Fehler entstehen. Sie kann aber ebenso anzeigen, dass vorhandene Schwachstellen schneller gefunden, besser dokumentiert und konsequenter gemeldet werden. Zudem wächst die Softwareindustrie, die Zahl der eingesetzten Komponenten und die internationale Sicherheitsforschung. Die Autoren selbst warnen deshalb davor, den Sprung im Jahr 2026 ausschließlich den neuen AI-Modellen zuzuschreiben. Die zeitliche Nähe ist ein Indiz, kein kausaler Beweis. Für die Praxis ändert diese Unsicherheit jedoch wenig am Handlungsdruck: Ob AI mehr Lücken erzeugt oder mehr bestehende Lücken sichtbar macht – Unternehmen müssen in beiden Fällen wesentlich schneller prüfen, priorisieren und patchen.

Datenlecks nehmen zu, der menschliche Anteil sinkt

Auch die weltweiten Daten zu bestätigten Sicherheitsverletzungen zeigen einen deutlichen Anstieg. Für 2025 weist die von der BIS verwendete globale Datensammlung mehr als 20.000 bestätigte Fälle aus. Gleichzeitig ging der Anteil der Vorfälle mit einem erkennbaren menschlichen Element langfristig zurück, während unter anderem Ransomware, die Ausnutzung technischer Schwachstellen und Lieferkettenangriffe an Bedeutung gewannen.

Die Datenbasis bleibt unvollständig. Angreifer legen ihre eingesetzten Werkzeuge nicht offen, Unternehmen melden Vorfälle nach unterschiedlichen Standards, und die Kategorien beschreiben eher die Art des Vorfalls als den konkreten Anteil von AI. Trotzdem passt die Entwicklung zur These der Studie: Cyberangriffe werden stärker automatisierbar und weniger davon abhängig, dass ein Mensch jeden einzelnen Schritt manuell ausführt.

Ein ungewöhnliches Signal von den Kapitalmärkten

Ergänzend analysieren die Autoren die Börsenreaktion rund um die Mythos-Ankündigung. Mehrere Cybersecurity-Aktien verzeichneten danach deutlich negative kumulierte abnormale Renditen. Dabei werden die tatsächlichen Kursbewegungen mit den durch ein Marktmodell erwarteten Renditen verglichen; als Referenz dienten die Bewegungen des Nasdaq 100 vor dem Ereignis.

Die Reaktion ist bemerkenswert. Eine gefährlichere Bedrohungslage könnte eigentlich die Nachfrage nach Sicherheitsprodukten erhöhen. Der Kursrückgang legt nahe, dass Investoren zugleich eine mögliche Entwertung etablierter Produkte und Geschäftsmodelle fürchteten: Wenn Frontier-Modelle Sicherheitsanalysen direkt durchführen, könnten Teile bisheriger Angebote austauschbar werden. Die Studie nennt allerdings eine zweite, weniger negative Erklärung. Unternehmen könnten mit denselben Modellen mehr Abwehrleistung intern erbringen und deshalb weniger externe Produkte benötigen. Auch hier beweist die Ereignisstudie keine langfristige Wirkung; sie zeigt aber, dass der Markt die Technologie nicht nur als zusätzliche Nachfragequelle, sondern als potenziell disruptiven Faktor bewertet.

Abb. 03: Gemeldete Datenverletzungen steigen; nach der Mythos-Ankündigung verschieben sich die Erwartungen an Cybersecurity-Unternehmen [Quelle: Aldasoro et al. (2026), Graph 3, S. 4; Daten: Verizon und LSEG Datastream]

Warum aus einem Cybervorfall ein Stabilitätsrisiko werden kann

Für die BIS ist der entscheidende Punkt die Systemdimension. Ein Cybervorfall bei einem einzelnen Unternehmen ist zunächst ein operationelles und singuläres Risiko. Systemisch wird er, wenn gemeinsame Abhängigkeiten und enge Verflechtungen die Störung weitertragen. Zahlungs-, Handels- und Nachhandelsplattformen verarbeiten Transaktionen für Milliarden von Unternehmen und Privatpersonen. Dies gilt gleichermaßen auch für andere Branchen in der Privatwirtschaft und vor allem auch für die "Öffentliche Hand". Ausfälle können im Bereich der Finanzdienstleister Liquidität blockieren, Zahlungen verzögern, Sicherheitenbewegungen behindern und das Vertrauen in zentrale Marktmechanismen beschädigen. In anderen Branchen sind noch weitere Szenarien denkbar.

Die technischen Voraussetzungen für solche Kaskaden sind vorhanden: komplexe Softwarestapel, alte Kernsysteme, offene Komponenten, Cloud-Infrastrukturen und spezialisierte Drittanbieter. Gerade bei gemeinsam genutztem Code ist der gesellschaftliche Nutzen einer gefundenen und veröffentlichten Schwachstelle größer als der private Nutzen für das einzelne Unternehmen, das die Suche finanziert. Ökonomisch entsteht eine Externalität. Unternehmen könnten zu wenig in die gemeinsame Suche und Offenlegung investieren, weil ein Teil des Nutzens bei Wettbewerbern oder anderen Marktteilnehmern anfällt. Daraus leitet die BIS-Analyse eine klare Rolle für Aufsicht, koordinierte Scans und institutionalisierte Informationsweitergabe ab.

Was Unternehmen und Behörden jetzt tun sollten

Die kurzfristige Priorität ist aus Sicht der Autoren eindeutig: Frontier-Modelle müssen schnell defensiv eingesetzt werden, um Codebestände zu prüfen und Schwachstellen zu beseitigen. Dabei geht es nicht um ein zusätzliches Pilotprojekt im Innovationslabor, sondern um die Integration in die operative Sicherheitsarchitektur. Besondere Aufmerksamkeit verdienen Eigenentwicklungen, Altsoftware, Open-Source-Abhängigkeiten, internetseitig erreichbare Systeme und Schnittstellen zu Dritten. Kritische Lieferanten – insbesondere Cloud-Anbieter – müssen in Tests, Meldewege und Sanierungsprozesse einbezogen werden.

Auch Übungen müssen sich verändern. Klassische Cyberkrisenübungen unterstellen häufig Reaktionszeiten von Stunden oder Tagen. AI-gestützte Angriffsketten können dieses Zeitfenster drastisch komprimieren. Szenarien sollten deshalb automatisierte Erkundung, parallele Angriffe, die Kompromittierung von Drittsoftware und sehr kurze Eskalationszeiten abbilden. Entscheidend ist nicht nur, ob eine Organisation einen Vorfall erkennen kann, sondern ob sie unter hohem Tempo Rechte entzieht, Systeme isoliert, Ersatzprozesse aktiviert und mit anderen Marktteilnehmern koordiniert kommuniziert.

Koordination als Teil der technischen Abwehr

Cyberresilienz lässt sich im Finanzsystem nicht ausschließlich auf Ebene des einzelnen Instituts herstellen. Die Analyse fordert eine enge Zusammenarbeit zwischen Finanzunternehmen, Zentralbanken, Aufsichtsbehörden, nationalen Sicherheitsbehörden und Betreibern kritischer Infrastruktur. Ziel ist, dass Verteidiger neue Modellfähigkeiten möglichst früh nutzen und Informationen über Schwachstellen in einem rechtlich abgesicherten Rahmen schnell teilen können.

International sollten bestehende Rahmenwerke weiterentwickelt werden. Die BIS verweist unter anderem auf die Prinzipien des Financial Stability Board zur operationellen Resilienz und zur Reaktion auf Cybervorfälle, auf die Baseler Grundsätze zur operationellen Resilienz sowie auf die CPMI-IOSCO-Leitlinien für Finanzmarktinfrastrukturen. Die bekannten Handlungsfelder Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen bleiben gültig. Sie müssen jedoch um AI-spezifische Angriffspfade, schnellere Szenarien, gemeinsame Tests neuer Modelle und eine stärkere Überwachung von Lieferketten ergänzt werden.

Mittelfristig braucht es interoperable Begriffe, sichere Kommunikationskanäle, klare Schutzregeln für geteilte Informationen und eine faire Gegenseitigkeit. Nicht jede Jurisdiktion verfügt über dieselben Rechenressourcen oder dieselbe Expertise. Internationale Programme zum Kapazitätsaufbau könnten daher gemeinsame AI-gestützte Resilienzwerkzeuge erproben und kleineren Behörden Zugang zu Prüfverfahren verschaffen. Geopolitische Grenzen werden den Austausch sensibler Bedrohungsinformationen weiterhin einschränken; sie machen belastbare Kooperation innerhalb vertrauenswürdiger Netzwerke umso wichtiger.

Wie schnell wird aus Erkenntnis eine Korrektur?

Die Studie verschiebt den Fokus von der abstrakten Frage "Ist AI gefährlich?" auf eine konkretere betriebliche Frage: Wie groß ist die Lücke zwischen dem Finden einer Schwachstelle und ihrer wirksamen Beseitigung? Frontier-AI verkürzt die Suchzeit auf beiden Seiten. Wenn Governance, Patch-Prozesse und Freigaben unverändert langsam bleiben, profitiert vor allem der Angreifer.

Für Vorstände und Risikoverantwortliche folgt daraus ein anderes Steuerungsmodell. Relevante Kennzahlen sind nicht nur die Zahl offener Schwachstellen, sondern deren Exponiertheit, Ausnutzbarkeit, Verbreitung über gemeinsame Komponenten und die erwartete Zeit bis zur Behebung. Hinzu kommen die Verfügbarkeit von Ersatzverfahren, die Konzentration bei Drittanbietern und die Frage, ob ein Angriff auf eine gemeinsame Plattform mehrere kritische Funktionen gleichzeitig beeinträchtigen kann. AI-Risikomanagement und Cyberrisikomanagement – und auch unternehmensweites Risikomanagement – dürfen deshalb nicht getrennt behandelt werden: Das Modell ist zugleich Produktivitätsinstrument, Angriffsfläche, Abwehrwerkzeug und möglicher Beschleuniger systemischer Kaskaden.

Fazit: Ein schrumpfendes Zeitfenster

Das "Mythos-Moment" besteht nicht darin, dass Maschinen plötzlich unfehlbare Hacker geworden sind. Es besteht darin, dass die leistungsfähigsten Modelle mehrere Fähigkeiten zusammenführen, die bislang auf unterschiedliche Spezialisten verteilt waren: Codeanalyse, Schwachstellensuche, Exploit-Entwicklung, Planung und iterative Ausführung. Die Technologie senkt Kosten, erhöht Skalierbarkeit und verkürzt die Zeit vom Fund einer Lücke bis zum Angriff. Diese Entwicklung trifft auf einen Finanzsektor, dessen Stabilität von komplexen, gemeinsam genutzten und teilweise schwer aktualisierbaren Systemen abhängt.

Gleichzeitig liefert die Studie einen realistischen Gegenentwurf zur reinen Bedrohungserzählung. Frontier-AI kann die Defensive massiv stärken – vorausgesetzt, Verteidiger erhalten frühzeitig Zugang, integrieren die Modelle in reale Prozesse und teilen Erkenntnisse schneller als bisher. Die zentrale politische und unternehmerische Aufgabe lautet daher nicht, den technologischen Fortschritt aufzuhalten, sondern die institutionelle Reaktionsgeschwindigkeit an ihn anzupassen. Ob das neue Gleichgewicht zu mehr oder weniger systemischem Cyberrisiko führt, ist noch offen. Offen ist jedoch nicht mehr, ob Organisationen handeln müssen.