Project Glasswing markiert einen wichtigen Moment für die Cybersicherheits- und Softwarebranche. Das Projekt zeigt, welches Potenzial spezialisierte KI-Modelle in der Schwachstellenanalyse entfalten können. Plötzlich finden sich Sicherheitslücken die jahrzehntelang offen standen.
„Kritische Sicherheitslücken in weit verbreiteter Open-Source-Software wurden identifiziert, darunter Fehler, die teilweise über Jahre und in einzelnen Fällen sogar jahrzehntelang unentdeckt geblieben sind. Projekt Glasswing wirkt damit über eine reine Technologie-Demonstration hinaus und deutet auf eine grundlegende Veränderung darin, wie Software entwickelt und abgesichert wird.“ So Heiko Klarl, CEO bei Nexis.
Viele Unternehmen erleben aktuell eine Phase wachsender Unsicherheit. Die Zahl identifizierter Schwachstellen steigt, und Security-Teams stehen unter Druck, Risiken schneller zu bewerten und Systeme zeitnah abzusichern. Tatsächlich handelt es sich dabei um einen notwendigen Reinigungsprozess. Die Branche arbeitet technische Altlasten auf, die sich über viele Jahre angesammelt haben. Genau diese Phase ist entscheidend für eine langfristig stabilere und sicherere digitale Basis.
Sicherheit wandert in den Entwicklungsprozess
KI wird künftig zum festen Bestandteil des gesamten Software-Lifecycles. Sicherheitsorientierte Modelle analysieren Code kontinuierlich und liefern automatisiert Verbesserungsvorschläge, sobald sich potenzielle Schwachstellen abzeichnen. Sicherheit verschiebt sich damit weiter nach vorn in den Entwicklungsprozess, idealerweise direkt beim Schreiben von Code. Diese Entwicklung wird die Qualität moderner Software langfristig erhöhen. Zugleich verändert sie die Anforderungen an Governance und Risikosteuerung. Für unser Kerngeschäft bei Nexis und das Feld der Authorization Governance ist das eine positive Entwicklung, denn eine sicherere technische Basis stärkt die gesamte IT eines Unternehmens. Eine zentrale Frage bleibt jedoch bestehen. Wer darf in welcher Situation auf welche Systeme und Daten zugreifen?
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenModelle wie Mythos oder vergleichbare KI-gestützte Sicherheitslösungen können Schwachstellen automatisiert identifizieren und teilweise beheben. Sie ersetzen aber nicht die Notwendigkeit, Richtlinien und Berechtigungen klar zu definieren und diese regelmäßig zu überprüfen. Governance bleibt eine zentrale Unternehmensaufgabe. Gerade deshalb beobachten wir derzeit eine stärkere Annäherung von Identity & Access Management (IAM) und Governance, Risk & Compliance (GRC).
Authorization Governance entwickelt sich zu einem wichtigen Bestandteil unternehmensweiter Risiko- und Compliance-Strategien. Technische Korrektheit einer Berechtigung reicht künftig nicht aus. Entscheidend wird, ob sie im jeweiligen Kontext risikobewusst und geschäftlich sinnvoll ist. In Autorisierungsentscheidungen fließen dabei immer mehr Kontextinformationen ein, etwa Daten aus dem ISMS und Bewertungen zur Anwendungskritikalität, ergänzt um Erkenntnisse aus dem Third-Party-Management. Authorization Governance wird dadurch deutlich dynamischer und stärker kontextbezogen.
Authorization Governance wird kontextabhängig
Heiko Klarl, CEO bei Nexis (Bild: Nexis).
Dynamic Access Policies machen Zugriffsentscheidungen kontextabhängig. Standort, Gerät, Tageszeit und aktuelles Risikolevel bestimmen mit darüber, welche Rechte gewährt werden. Ergänzt um Informationen aus Third-Party-Management-Systemen und GRC- und ISMS-Daten entsteht ein präziseres Risikobild, und Unternehmen können Zugriffe dynamisch an die jeweilige Bedrohungslage anpassen.
Parallel dazu vernetzt das Shared Signals Framework (SSF) Sicherheitssysteme enger miteinander. Signale aus Endpoint Detection und Verhaltensanalysen werden zentral ausgewertet und mit Identitätsprüfungen verknüpft. Systeme reagieren dadurch in Echtzeit. Sie passen Zugriffe an oder lösen zusätzliche Authentifizierungsschritte aus, sodass Sicherheitsentscheidungen schneller und stärker automatisiert getroffen werden.
Regeln und technische Leitplanken für autonome KI-Agenten
Besonders relevant wird Authorization Governance sowie Identity Visibility and Intelligence (IVIP) im Umgang mit autonomen KI-Agenten. Wenn KI-Systeme eigenständig handeln oder auf sensible Daten zugreifen, braucht es klare Regeln und technische Leitplanken. Intents und Controls lassen sich als Policies in den Systemen hinterlegen. Diese Policies steuern Governance und Enforcement gleichermaßen und binden KI-Agenten kontrolliert in bestehende Compliance- und Risikostrukturen ein. Gerade hier zeigt sich, wie wichtig Governance künftig wird. Je autonomer Systeme handeln, desto entscheidender wird die Frage, welche Rechte sie besitzen und wo ihnen Grenzen gesetzt sind.
Project Glasswing markiert eine Verschiebung in der Cybersicherheit. KI verkürzt die Zeit, in der Sicherheitslücken erkannt und behoben werden, erheblich. Die Verantwortung für Governance und Zugriffsentscheidungen bleibt davon unberührt bei den Unternehmen. Wer mit KI sichereren Code produziert, hat damit noch nicht beantwortet, wer in welcher Situation auf welche Systeme zugreifen darf. Diese Frage wird in einer zunehmend KI-getriebenen IT an Bedeutung gewinnen.
Mehr bei Nexis-Secure.com
Über NEXIS
Nexis bietet intuitive Governance- und Sicherheitslösungen, die Identity Governance & Administration (IGA) sowie Governance, Risk & Compliance (GRC) für Unternehmen aller Branchen vereinfachen. Die fortschrittliche Zero-Code Identity Visibility and Intelligence Platform (IVIP) ermöglicht es Organisationen, KI-gestützte und umsetzbare Erkenntnisse zu gewinnen, Zugriffs-Governance zu automatisieren und das Management von Rollen und Richtlinien zu vereinfachen. Vorkonfigurierte Templates und Tools beschleunigen die Einführung und gewährleisten gleichzeitig die Einhaltung zentraler Standards wie DSGVO, NIS2 und DORA. Durch ein nutzerzentriertes und anpassungsfähiges Design reduzieren die Lösungen von Nexis Komplexität und Kosten und ermöglichen es Unternehmen, sich auf verändernde regulatorische Anforderungen vorzubereiten.
Passende Artikel zum Thema
Project Glasswing und die Code-Reinigung: Warum fehlerfreie Software ohne Authorization Governance wertlos bleibt
Fachliche Einordnung Die Fachplattform B2BCS ordnet die Ergebnisse und Erkenntnisse rund um Project Glasswing im Juli 2026 als technologischen Meilenstein für die Applikationssicherheit ein. Durch den Einsatz hochgradig spezialisierter, sicherheitsorientierter KI-Modelle gelingt es der Industrie erstmals, jahrzehntelang unentdeckte, kritische Schwachstellen in weit verbreiteter Open-Source-Software im großen Stil zu identifizieren und zu bereinigen. Was oberflächlich wie eine Flut neuer Sicherheitsrisiken wirkt, entpuppt sich als dringend notwendiger, KI-gestützter Reinigungsprozess historischer Software-Altlasten. Die reine Code-Ebene wird dadurch signifikant sicherer – verschiebt das eigentliche Sicherheitsrisiko jedoch unmittelbar auf die logische Autorisierungsebene.
Key-Takeaways
- Das Ende der jahrzehntelangen Zero-Days: Spezialisierte KI-Modelle wie Mythos transformieren die Schwachstellenanalyse. Sie finden logische Fehler und Sicherheitslücken, die menschlichen Review-Prozessen über Generationen hinweg entgangen sind, und integrieren die automatisierte Behebung direkt in den Software-Development-Lifecycle (SecDevOps).
- Verschiebung des Fokus auf Authorization Governance: Ein fehlerfreier Quellcode garantiert keine sichere Anwendung. Wenn Softwaresysteme technisch fehlerfrei laufen, wird die zentrale Sollbruchstelle die logische Autorisierung: Wer darf in welcher Situation auf welche Daten zugreifen?
- Die Verschmelzung von IAM und GRC: Statische Berechtigungen genügen modernen Bedrohungslagen nicht mehr. Die IT-Sicherheit im Jahr 2026 erfordert eine tiefe Integration von Identity & Access Management (IAM) mit Governance, Risk & Compliance (GRC). In Autorisierungsentscheidungen fließen fortlaufend Kontextdaten aus dem ISMS, der Anwendungskritikalität sowie dem Third-Party-Risikomanagement ein.
- Kontextbezogene Echtzeitsicherheit durch SSF: Das Shared Signals Framework (SSF) ermöglicht den Echtzeit-Austausch von Risikosignalen zwischen Endpoint-Security, Verhaltensanalysen und Identitätssystemen. Bei einer Anomalie werden Zugriffsrechte vollautomatisch angepasst oder zusätzliche Authentifizierungsschritte (MFA) erzwungen.
- Leitplanken für autonome KI-Agenten: Da autonome KI-Systeme zunehmend eigenständig agieren, müssen deren Absichten und Aktionen (Intents and Controls) über granulare Policies gesteuert werden. Ohne diese Governance-Ebene droht ein unkontrollierter Rechte-Missbrauch durch die KI selbst.
Strategische Analyse Wie Heiko Klarl, CEO bei Nexis, verdeutlicht, repariert KI zwar die fundamentale Code-Basis der globalen IT-Infrastruktur, entbindet Unternehmen jedoch keineswegs von ihrer Governance-Verantwortung. Im Gegenteil: Je autonomer und fehlerfreier Systeme agieren, desto kritischer wird die Überwachung ihrer Privilegien. Wenn ein KI-Agent oder ein Benutzer über eine technisch perfekt programmierte API Schadcode-frei auf sensible Daten zugreift, weil seine Berechtigungen zu weit gefasst sind, nützt der sicherste Code der Welt nichts. Risikobewusste Autorisierungsentscheidungen müssen daher dynamisch und kontextabhängig getroffen werden – basierend auf Faktoren wie Standort, Gerätetyp und aktuellem Bedrohungslevel.
Handlungsempfehlung: Unternehmen müssen die durch KI gewonnene Software-Sicherheit nutzen, um ihre Autorisierungs- und Governance-Strukturen auf ein dynamisches Zero-Trust-Niveau zu heben.
- Etablierung von Dynamic Access Policies (ABAC): Stellen Sie starre, rollenbasierte Zugriffsrechte (RBAC) auf attributbasierte Richtlinien (ABAC) um. Zugriffsentscheidungen müssen in Echtzeit unter Einbeziehung von Kontextfaktoren (Gerätestatus, Standort, Tageszeit und Datenklassifizierung) getroffen werden.
- Anbindung an das Shared Signals Framework (SSF): Verknüpfen Sie Ihre Identitätsplattformen direkt mit Ihren Detection-Systemen (XDR/SIEM). Nutzen Sie SSF-Schnittstellen, um bei verdächtigen Verhaltenssignalen eines Nutzers oder KI-Agenten dessen Autorisierung im gesamten Netzwerk augenblicklich und automatisiert einzuschränken.
- Einführung von Identity Visibility and Intelligence (IVIP) für KI-Akteure: Behandeln Sie autonome KI-Agenten als eigenständige Identitäten. Hinterlegen Sie deren erlaubte Handlungsspielräume als maschinenlesbare Sicherheitsrichtlinien (Policies as Code), um sicherzustellen, dass kein Agent seine definierten GRC- und Compliance-Grenzen überschreiten kann.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200