Frontier AI bei Palo Alto Networks

Interview mit Haider Pasha, VP & CSO EMEA bei Palo Alto Networks

Was steckt hinter dem Claude Mythos? Welche Rolle spielt Project Glasswing? Und was bedeutet das für Unternehmen? Exklusiv für NTS beantwortet Haider Pasha, VP & CSO EMEA bei Palo Alto Networks, Fragen zu aktuellen Entwicklungen und den nächsten Schritten für Unternehmen.

Haider Pasha verfügt über mehr als 20 Jahre Erfahrung in der IT und bringt umfassende Expertise im Bereich Cybersecurity mit.

Die größte Überraschung aus Project Glasswing: Was hat euch beim Einsatz von Frontier-Modellen gegen die eigenen Produkte am meisten überrascht — nicht die Anzahl der Funde, sondern die Art der Erkenntnisse?

Haider Pasha: Ja, genau das. Die Überraschung war nicht der Umfang unserer Funde, sondern dass das Modell wie ein Angreifer denkt. Frontier AI ist hervorragend darin, Schwachstellen zu verketten (Kombination von Problemen mit geringerem Schweregrad, also Dinge, die einzeln niemals auf einer Patch-Prioritätenliste landen würden) und sie dabei in Echtzeit zu kritischen Exploit-Pfaden zusammenzuführen. Ein konkretes Beispiel aus unseren Tests: Zwei Schwachstellen mittlerer Schwere und eine Schwachstelle niedriger Schwere wurden zu einem einzigen kritischen Exploit verknüpft. Keine der drei wäre für sich genommen priorisiert worden.

Eine weitere Überraschung war der Umfang: In drei Wochen Mythos-basiertem Scannen erreichten wir das Äquivalent von mehr als zwei Jahren Pen-Testing-Aufwand. Und es fand logikbasierte Schwachstellen, die herkömmliche Tools strukturell übersehen.

Die andere Erkenntnis ist, dass der eigentliche Durchbruch nicht unbedingt in der Programmierfähigkeit liegt, sondern in der Fähigkeit, hartnäckig zu sein. Die meisten Modelle laufen in kurzen Sitzungen (Minuten), aber diese cyberoptimierten Modelle halten lange Sitzungen über Stunden aufrecht. Ein menschliches Red Team kann nicht so viel Kontext auf einmal behalten, ein Modell schon. Das Modell wurde wirklich leistungsfähig, als wir eine Sicherheitsumgebung bauten, die es mit umfangreichem Kontext (was der Code macht, wie frühere Angriffe funktionierten, unsere Threat Intel usw.) fütterte. Insgesamt glauben wir, dass wir die Fähigkeiten des Modells bei unseren eigenen Tests erst unterschätzt haben.

Die Lektion hier ist, dass eine schweregradfokussierte Behandlung einzelner Probleme keine Resilienz bietet. Wir priorisieren jetzt schweregradunabhängig nach Angriffspfad.

Frontier-AI-Zusammenarbeit konkret: Was genau macht ihr heute anders in eurer Produktentwicklung, seit ihr Zugang zu Frontier-Modellen habt?

Haider Pasha: Wir begannen am 7. April mit dem Testen von Mythos als Project-Glasswing-Launch-Partner und führten innerhalb weniger Wochen einen vollständigen Initial-Scan von über 130 Produkten auf unseren drei Plattformen durch. Das Ergebnis wurde an unserem „Patch Wednesday“ im Mai veröffentlicht: 26 CVEs, die 75 Probleme abdecken, im Vergleich zu unserem typischen Volumen von weniger als 5 CVEs pro Monat — etwa das Fünffache unserer normalen Fundrate. Keiner davon wurde in der Realität ausgenutzt. Alle SaaS-Produkte sind bereits gepatcht, und Patches sind für jedes vom Kunden betriebene Produkt verfügbar, alles läuft über denselben PSIRT-Prozess, den Kunden bereits einplanen.

Der Verlauf ist der eigentliche Beweis für „Attack yourself first“: historisch etwa 5 CVEs pro Monat, 26 im Frontier-Sweep, und nach der Bereinigung erwarten wir, dass wir uns auf einer noch niedrigeren Run-Rate als zuvor einpendeln. Ein einmaliger starker Anstieg, dann eine dauerhaft stärkere Basislinie — das ist die Kurve, die jede Organisation anstreben sollte.

Im Alltag haben sich drei Dinge geändert. Wir haben Sicherheitsumgebungen mit KI-Scanning erstellt, weil die Modelle keine Zauberei sind — hochwertige Ergebnisse erfordern Kontext, Leitplanken und Threat Intelligence. Wir scannen kontinuierlich neu und speisen jede Erkenntnis in das System zurück. Und mit „Shift Left“ integrieren wir diese Modelle direkt in den Softwareentwicklungszyklus, sodass Entwickler ihre eigene Software vor dem Merge selbst auf Fehler prüfen. Die Priorisierung der Fehlerbehebung basiert nun auf der Erreichbarkeit durch Angreifer, Auswirkungen auf den Geschäftsbetrieb und Angreifbarkeit von KI-Systemen — nicht mehr auf der CVE-Schwere.

Volumen vs. Wert: Woran genau erkennt ein Kunde, ob ein Scan-Ergebnis wirklich handlungsrelevant ist?

Haider Pasha: Rein die Zahlen sagen fast nichts aus. In frühen Tests waren etwa ein Drittel falsch-positive Ergebnisse, und von den tatsächlichen Funden hätte sich die Mehrheit niemals negativ auf einen Kunden ausgewirkt. Das ist normal bei rohem Modell-Output; es ist einfach unsauber. Die Validierung jedes Funds durch einen Analysten ist immer notwendig; sie ist der Unterschied zwischen einem Sicherheitsprogramm und einem reinen Lärmerzeuger. Wer das nicht tut, wird seine Teams mit der Menge der Funde überfordern, während echte Exploit-Pfade unbeachtet bleiben.

Ein Ergebnis ist erst handlungsrelevant, wenn es diese drei Fragen beantwortet: Kann ein Angreifer es tatsächlich erreichen — also tatsächliche Erreichbarkeit (Reachability), nicht nur das theoretische Vorhandensein? Was passiert, wenn er es schafft — die möglichen geschäftlichen Auswirkungen und der vollständige Exploit-Pfad, einschließlich der Frage, wie sich dies mit anderen Problemen verknüpft? Und kann KI es ausnutzen — denn KI-Ausnutzbarkeit ist jetzt ein sehr wichtiger Faktor.

Der praktische Test für jeden Kunden: Wenn der Bericht eine neu gewichtete Warteschlange zur Fehlerbehebung, basierend auf Exploit-Pfaden liefert, ist er handlungsrelevant. Wenn er nur eine längere CVE-Liste liefert, ist er nur Lärm.

Die 3 konkreten Dinge: Wenn ein IT-Verantwortlicher nur drei Dinge in den nächsten 90 Tagen tun könnte — welche drei würdet ihr empfehlen?

Haider Pasha:
Erstens: Greifen Sie sich zuerst selbst an. Nutzen Sie KI, um Schwachstellen in Ihrem Code, Ihren Anwendungen und Ihrer Open-Source-Lieferkette zu finden und zu beheben, bevor Angreifer dies tun. Erstellen Sie ein vollständiges Inventar der tatsächlich erreichbaren Schwachstellen und ordnen Sie die Behebung nach Exploit-Pfaden statt nach Schweregrad neu.

Zweitens: Schließen Sie die strukturellen Lücken. Zero Trust und Identity Security für jede menschliche, maschinelle und KI-Identität, Absicherung nicht-menschlicher Identitäten sowie Kontrollen für laterale Bewegungen und ausgehende Verbindungen — kombiniert mit dem Vorantreiben der Prävention im Rahmen einer 100 %-Abdeckung: XDR durchgängig, agentenbasierte Endpunktsicherheit und ein sicherer Unternehmens-Browser.

Drittens: Werden Sie schneller. Automatisieren Sie die Patch-Kapazität jetzt, denn in der kommenden Flut wird jeder Patch, der nicht sofort angewendet wird, zu einer bekannten, angreifbaren Schwachstelle. Modernisieren Sie außerdem das SOC in Richtung einer Erkennungs- (MTTD) und Reaktionszeit (MTTR) im einstelligen Minutenbereich.

Das Framework ist nicht neu, aber der Ausführungsstandard spielt jetzt die größte Rolle: Organisationen, die „größtenteils geschützt“ sind, sind effektiv ungeschützt.

Identity als neue Frontlinie: Warum ist ausgerechnet Identity gerade jetzt der Hebel — und nicht klassisches Patching?

Haider Pasha: Wegen des Anstiegs von „Inside-Out“-Angriffen. Dabei gelangen KI-gesteuerte Angreifer zunehmend direkt in die Infrastruktur (denken Sie an SolarWinds vor ein paar Jahren) und umgehen so die bekannten konventionellen Angriffsschritte, für deren Erkennung Perimeter-Kontrollen eigentlich gebaut wurden. Das ist keine Theorie mehr — neuere Supply-Chain-Angriffe auf Tools wie LiteLLM und Trivy zeigen genau dieses Muster. Sobald ein Angreifer im System ist, basiert der Angriff auf Identität: Zugangsdaten, Token, Berechtigungen und laterale Bewegungen. Und es geht nicht mehr nur um menschliche Identität — Maschinenidentitäten und mittlerweile auch KI-Agenten-Identitäten übertreffen die Anzahl menschlicher Identitäten bei weitem und sind meist am wenigsten reguliert.

Es gibt zudem eine unangenehme Wahrheit bezüglich des Patchings allein: Angreifer werden Schwachstellen finden und ausnutzen, bevor Patches überhaupt existieren. Man kann sich nicht durch Patchen aus einem Zero-Day retten, der von einem Frontier-Modell entdeckt wurde. Identitätsmodernisierung, Zero-Trust-Segmentierung und kurzlebige Secrets schützen selbst gegen Schwachstellen, von denen man noch gar nichts weiß.

Es geht also nicht um Identität statt Patching, sondern um Identität als die Schutzschicht, die greift, wenn das Patching zwangsläufig hinterherhinkt.

KI als zweischneidiges Schwert: Was ist der größte Irrtum, dem Kunden aktuell zum Thema „KI-Bedrohung“ unterliegen?

Haider Pasha: Das größte Missverständnis ist, dass dies ein Problem der Zukunft sei und dass es hauptsächlich um bessere Phishing-E-Mails gehe. Die Realität ist eine Veränderung von Geschwindigkeit und Struktur: KI entdeckt Schwachstellen in großem Maßstab, generiert Exploits in nahezu Echtzeit, verkettet Probleme mit geringem Schweregrad zu kritischen Pfaden und entwickelt sich von KI-unterstützten hin zu vollautonomen Angriffsagenten. Es ist eine Demokratisierung fortschrittlicher Angriffsfähigkeiten; was früher Tage oder Wochen an qualifizierter manueller Arbeit erforderte, wird bald in Minuten ausgeführt, und zwar durch weitaus mehr Akteure.

Das zweite Missverständnis ist, dass Leitplanken dies eindämmen können. Das werden sie nicht. Wir gehen von einem schmalen Zeitfenster von drei bis fünf Monaten aus, bevor diese Fähigkeiten Open-Source-Modelle erreichen und in die Hände von Angreifern gelangen.

Das dritte ist, dass Verteidiger ein völlig neues Framework benötigen. Das brauchen sie nicht, denn bisher finden Frontier-Modelle zwar neue Angriffe, aber keine neuen Angriffstechniken — und das ist der Vorteil des Verteidigers. Was sich ändert, ist der Standard der Ausführung: 100 % Abdeckung und Reaktion in Maschinengeschwindigkeit.

Neue Dimension, neues Zeitfenster: Welche Rolle spielen Systemintegratoren wie NTS dabei, dass diese Entwicklungen bei euren gemeinsamen Kunden rechtzeitig und richtig ankommen?

Haider Pasha: Unsere Sicht ist einfach: Die KI-Labore liefern die Fähigkeiten, die Sicherheitsindustrie liefert die operative Verteidigung. Und Partner wie NTS sind der Weg, wie diese Verteidigung tatsächlich in den Kundenumgebungen ankommt. Die Lücke, die wir überall sehen, ist, dass Kunden zwar erweiterte Funktionalitäten kaufen können, aber Schwierigkeiten haben, diese einzusetzen und zu operationalisieren. Der neue Standard ist 100 % Abdeckung und Optimierung, und das ist eine Herausforderung für Implementierung und Betrieb — genau der Bereich, in dem Integratoren zu Hause sind.

Konkret übersetzt NTS diesen Moment in Exposure-Assessments, die den Kunden ihr tatsächliches Risiko aufzeigen, die Implementierungslücken bis zur vollständigen Präventionsabdeckung schließen, die Automatisierung vorantreiben, die SOCs zu einer Reaktionszeit im einstelligen Minutenbereich verhilft, und als vertrauenswürdiger lokaler Ansprechpartner für Kunden fungieren, die nicht über die internen Ressourcen verfügen.

Das Zeitfenster von drei bis fünf Monaten macht die Angelegenheit so dringlich: Dieser Übergang muss parallel bei Tausenden von Organisationen innerhalb weniger Quartale stattfinden. Das lässt sich ohne den Channel einfach nicht skalieren.

Ausblick: Was erwartet ihr bis Jahresende — und was bedeutet das für die Zusammenarbeit mit NTS?

Haider Pasha: Meine persönliche Einschätzung ist eine weitere Zuspitzung, keine Entspannung. Wir schätzen ein Zeitfenster von drei bis fünf Monaten, bevor Frontier-Cyber-Fähigkeiten in Open-Source-Modellen auftauchen und in die Hände von Angreifern gelangen — damit rechnen wir noch in diesem Jahr. Erwarten Sie eine Flut an Schwachstellen und Patches, mehr Inside-Out-Angriffe und die ersten wirklich KI-gesteuerten autonomen Angriffszyklen. Und ich möchte einen Punkt explizit neu einordnen: Die Dringlichkeit bezieht sich nicht auf die heutigen Modelle, die sich in den Händen der Verteidiger befinden, sondern auf die nächste Generation, sobald diese Fähigkeiten allgemein verfügbar sind. Kunden, die sich jetzt vorbereiten, bereiten sich auf das vor, was kommt, anstatt auf das zu reagieren, was bereits ist.

Aber auch auf Verteidigerseite gibt es eine Beschleunigung. Virtuelles Patching als eine neue Ebene zur Schadensbegrenzung, um den Teams während der Patch-Flut Zeit zu verschaffen — besonders wertvoll in der OT und kritischen Infrastruktur, wo man nicht jeden Patch Wednesday ein Team zu einem abgelegenen Standort schicken kann. Ein virtueller Patch auf Firewall- und IPS-Ebene blockiert das Exploit-Muster sofort und verschafft das operative Zeitfenster.

Für NTS bedeutet das gemeinsame Dringlichkeit: Gehen Sie mit Exposure-Assessments voran und helfen Sie den Kunden dann, ihre Kontrollen und Betriebsabläufe zu modernisieren. Die Kunden, die wir in dieser Jahreshälfte gemeinsam vorbereiten, werden in einer grundlegend anderen Position sein als diejenigen, die abwarten.

Von 25 auf unter 15 Minuten: Wie hängen diese beiden Zeitfenster zusammen, und was bedeutet das für ein Kunden-SOC ohne vollautomatisierte Response?

Haider Pasha: Das sind die zwei Enden der Angriffskette, die beide gleichzeitig immer kürzer werden. Unter 15 Minuten — so schnell beginnen Angreifer nach der Veröffentlichung einer neuen CVE mit dem Scannen, also die „Zeit bis zum Ziel“ (time-to-target). 25 Minuten ist die Zeit vom ersten Zugriff bis zur Exfiltration in KI-gestützten Szenarien, also die „Zeit bis zur Auswirkung“ (time-to-impact). Zusammengefasst: Der gesamte Angriff, von dem Moment an, in dem eine Schwachstelle bekannt wird, bis zu dem Zeitpunkt, an dem die Daten das Gebäude verlassen, kann schneller abgeschlossen sein, als die meisten SOCs einen einzelnen Alarm überhaupt sichten können.

Die neue Messlatte ist eindeutig: MTTD und MTTR unter fünf Minuten. Wir wissen, dass dies möglich ist, weil wir diese Zeiten in unserem eigenen SOC erreichen. Unser SOC verarbeitet etwa 180 TB Daten pro Tag an einem Ort, mit Erkennung und Behebung in etwa einer Minute, während der schnellste von uns beobachtete Angriff bei etwa 23 Minuten lag. Wenn Ihre Reaktion in einer Minute gemessen wird und der Angriff in 23 Minuten, gewinnt der Verteidiger; kehren Sie diese Zahlen um, verlieren Sie jedes Mal.

Der Perimeter verstärkt sich mit der Zeit – die nachhaltige Investition ist das Echtzeit-SOC, aufgebaut auf ML-gestützten Erkennungen, einheitlichen Daten aus allen Quellen und durchgängiger Automatisierung, geliefert als Plattform, denn genau an den Schnittstellen zwischen Einzellösungen gehen sonst diese 25 Minuten verloren.

Identity in 89 % der Fälle: Ist Identity Security inzwischen wichtiger als klassisches Vulnerability-Patching? Wo sollte ein Kunde mit begrenztem Budget zuerst investieren?

Haider Pasha: Es ist kein Entweder-oder, aber wenn ich gezwungen wäre, ein begrenztes Budget zu priorisieren, würde ich es in drei Schritten tun. Beginnen Sie mit einem KI-gesteuerten Exposure-Assessment (Sie können Ausgaben nicht priorisieren, ohne Ihre tatsächlichen Exploit-Pfade zu kennen); es ist kostengünstig im Verhältnis zu dem Risiko, das es reduziert, und zeigt Ihnen, ob Ihr größtes Problem die Exposition oder die Identität ist. Dann natürlich Identität und Zero Trust, denn das ist die horizontale Kontrolle: Sie deckt den Phishing-Zugang, die ungepatchte Schwachstelle und die Zero-Day-Lücke gleichermaßen ab. Wenn Identität in fast neun von zehn Untersuchungen auftaucht, ist es die Kontrolle mit der umfassendsten Abdeckung pro Euro. Patching läuft parallel, aber konsequent priorisiert — nicht „alles patchen“, sondern die interneterreichbaren, verkettbaren Exponierungen mit hohem Einfluss auf den Geschäftsbetrieb, die das Assessment aufgedeckt hat.

Patching reduziert die Anzahl der Türen, Identität begrenzt, was ein Angreifer tun kann, sobald er durch eine Tür gelangt ist — einschließlich derjenigen, die Sie noch gar nicht gefunden haben —, und das Echtzeit-SOC ist die nachhaltigste Investition, die alles auffängt, was dennoch durchschlüpft.

Zwei Frontier-Partner gleichzeitig (Glasswing + Trusted Access for Cyber): Was liefert der eine Anbieter, das der andere nicht liefert? Und ist ein Multi-Modell-Ansatz auch für Kunden sinnvoll?

Haider Pasha: Wir haben uns bewusst für eine Partnerschaft mit beiden Programmen entschieden, weil unsere Tests etwas Wichtiges gezeigt haben: Es gibt eine echte Varianz zwischen den Modellen, bedingt durch Unterschiede in ihrem Training, und jedes entdeckt einzigartige Schwachstellen, die das andere nicht findet. Wie es unser CTO Lee Klarich in unserem „Defender’s Guide“ vom Mai ausdrückte: Ein Multi-Modell-Ansatz ist erforderlich, um die Gesamtmenge der Schwachstellen zu identifizieren. Es ist „Defense in Depth“, angewandt auf die Erkennung. Mehrere unabhängige Perspektiven reduzieren blinde Flecken und das Konzentrationsrisiko auf nur eine einzige Roadmap.

Was sich nicht demokratisiert, ist das Engineering rund um das Modell. Die Sicherheitsumgebung ist der Burggraben, nicht das Modell selbst. Jeder wird diese APIs bald aufrufen können; wozu Hunderte unserer Sicherheitsingenieure monatelang gebraucht haben, ist die Arbeit an umfangreichem Kontext, Threat Intelligence, Leitplanken und Validierungsdisziplin, die störungsbehafteten Output in verifizierte Exploit-Pfade verwandelt.

Sollten Kunden also schlussfolgern, dass ein Multi-Modell-Ansatz für sie sinnvoll ist? Grundsätzlich ja, mit zwei Vorbehalten. Erstens Governance: Beschränken Sie den Quellcode-Kontext, den Sie teilen, und stellen Sie vertraglich sicher, dass keine Daten gespeichert werden. Und Fähigkeiten sind keine Verteidigung: Die Labore liefern die Fähigkeiten, aber sie in validierte, priorisierte, operative Ergebnisse zu verwandeln, ist eine andere Disziplin. Genau dafür gibt es die „Unit 42 Frontier AI Defense“ — Kunden erhalten die Ergebnisse eines Multi-Modell-Ansatzes, ohne selbst etwas davon aufbauen zu müssen.

Wollen Sie mehr über Frontier AI & Project Glasswing wissen?

Wenn Sie Interesse haben, kontaktieren Sie uns und vereinbaren Sie einen Termin mit unseren Expert:innen: sales@nts.eu.