KI erhöht den Patch-Druck
Die Cloud Security Alliance (CSA) schrieb bereits im April 2026 über eine drohende „Vulnpocalypse“ und verwies darauf, dass die Bezeichnung zu diesem Zeitpunkt schon seit Monaten in der Security-Community verwendet worden sei. Im Mittelpunkt steht die Befürchtung, dass leistungsfähige KI-Systeme Schwachstellen und mögliche Exploits schneller finden könnten, als Hersteller und Betreiber Patches bereitstellen und einspielen können.
Auch deutsche IT-Medien haben die internationale Diskussion aufgegriffen. heise online beschäftigte sich im April unter der Überschrift „Vom Mythos zur Vulnocalypse“ mit den Fähigkeiten von Anthropics KI-Modell Mythos und den möglichen Folgen für das Schwachstellenmanagement.
Eddie Roe aus dem AIOps-on-IBM-Z-Umfeld überträgt dieses Szenario in einem aktuellen Beitrag in der IBM Community auf Mainframe-Umgebungen. Nach seiner Einschätzung könnte sich der Engpass von der Suche nach Schwachstellen auf deren Behebung verlagern. Für Mainframe-Betreiber sei das besonders relevant, da Änderungen an geschäftskritischen Systemen sorgfältig bewertet, getestet und kontrolliert eingespielt werden müssten.
KI-System findet mehr als 14.000 Schwachstellen
Dass KI die Zahl der Funde deutlich erhöhen kann, zeigen aktuelle Untersuchungen außerhalb des Mainframe-Umfelds. Palo Alto Networks berichtete im August über sein autonomes System NOVA. Dieses habe innerhalb von zwei Monaten 3.915 Open-Source-Projekte untersucht und dabei 14.090 bestätigte Schwachstellen gefunden. 99,4 Prozent davon seien zuvor nicht öffentlich dokumentiert gewesen, rund 40 Prozent habe das Unternehmen als hoch oder kritisch eingestuft.
Viele Funde, aber nicht automatisch mehr Angriffe
Die steigende Zahl entdeckter Schwachstellen führt bislang nicht im gleichen Maße zu mehr realen Angriffen. Das zeigt eine Auswertung des Sicherheitsanbieters VulnCheck für das erste Halbjahr 2026.
Von 1.061 Schwachstellen, deren Entdeckung VulnCheck KI-gestützten Verfahren zuordnet, seien 14 nachweislich in „freier Wildbahn“ ausgenutzt worden. Das entspricht 1,3 Prozent und liegt nach Angaben der Sicherheitsforscher ungefähr auf dem Niveau aller untersuchten Schwachstellen. KI-entdeckte Sicherheitslücken seien demnach bislang nicht grundsätzlich häufiger Ziel realer Angriffe.
Die Untersuchung liefert zugleich Hinweise auf Verzögerungen bei der Behebung. VulnCheck verfolgte 1.611 KI-entdeckte Findings mit Blick auf eine 90-tägige Disclosure-Frist. Bis zum 21. Juli seien dafür lediglich 27 Patches veröffentlicht worden.
Auch die Computerwoche beschäftigte sich Anfang September mit den Folgen der KI-gestützten Schwachstellensuche für das Patch-Management. Gerade bei kritischen Systemen mit hohen Verfügbarkeitsanforderungen könnten Patches nicht ohne entsprechende Tests eingespielt werden.
Die verschiedenen Untersuchungen beschreiben damit ein Problem, das für Mainframe-Umgebungen besondere Relevanz haben könnte: Die Suche nach Schwachstellen lässt sich mit KI stark skalieren. Bei Bewertung, Priorisierung, Tests und Behebung gelten weiterhin die jeweiligen betrieblichen Abläufe und Anforderungen.
IBM sieht eine „Remediation Gap“ auf dem Mainframe
Für Mainframe-Umgebungen sieht Eddie Roe daraus besondere Herausforderungen entstehen. Mainframes seien bei vielen großen Unternehmen weiterhin zentrale Systeme für Finanztransaktionen, Kundendaten und geschäftskritische Prozesse.
Roe verweist unter anderem auf die etablierten Wartungsprozesse unter z/OS. Fixes werden beispielsweise über SMP/E verwaltet. Mainframe-Teams müssen dabei prüfen, welche APARs für ihre konkrete Softwarelandschaft relevant sind, welche Voraussetzungen und Abhängigkeiten bestehen und wie Änderungen sicher getestet und gegebenenfalls zurückgenommen werden können.
Zwischen der Identifikation einer Schwachstelle und ihrer Behebung könnten laut Roe deshalb Wochen oder Monate liegen. Zugleich verweist er auf knappes spezialisiertes Mainframe-Know-how und regulatorische Anforderungen wie DORA im Finanzsektor.
Die mögliche Differenz zwischen immer schnellerer Entdeckung und der Geschwindigkeit der Behebung beschreibt IBM als „Remediation Gap“. Mit einer wachsenden Zahl von Findings steigt auch der Aufwand, deren Relevanz für die eigene Systemlandschaft zu bewerten und die Reihenfolge der notwendigen Maßnahmen festzulegen.
IBM setzt auf Automatisierung der Behebung
Der IBM-Beitrag dient zugleich der Positionierung eigener Produkte. Roe verweist auf IBM Concert for Z, watsonx Assistant for Z und den IBM Z Upgrade Agent.
Concert for Z soll nach Angaben von IBM Informationen aus verschiedenen Quellen einer Mainframe-Umgebung zusammenführen und dabei helfen zu ermitteln, welche APARs für eine konkrete Installation relevant sind. watsonx Assistant for Z soll unter anderem Informationen zu APARs, Voraussetzungen, Abhängigkeiten und notwendigen Schritten aufbereiten. Der IBM Z Upgrade Agent soll Prüfungen vor der Installation von PTFs unterstützen.
IBM setzt damit auch bei der Bearbeitung und Behebung von Schwachstellen auf KI und Automatisierung. Damit sollen Mainframe-Teams schneller auf eine steigende Zahl relevanter Findings reagieren können.
Noch keine „Apokalypse“
Die bislang verfügbaren Zahlen rechtfertigen den drastischen Begriff „Vulnpocalypse“ nur bedingt. VulnCheck sieht derzeit keine Hinweise darauf, dass KI-entdeckte Schwachstellen überproportional häufig für reale Angriffe genutzt werden.
Für Mainframe-Betreiber dürfte entscheidend sein, wie sich die Zahl relevanter Findings entwickelt und ob die vorhandenen Kapazitäten für Bewertung, Tests und Behebung damit Schritt halten können.
Für Banken und Versicherungen hat das besondere Relevanz. Auf Mainframes laufen vielfach geschäftskritische Anwendungen mit hohen Anforderungen an Stabilität und Verfügbarkeit. Eine stark steigende Zahl relevanter Schwachstellen könnte die bestehenden Wartungs- und Patch-Prozesse zusätzlich belasten. Genau dort setzt die von IBM beschriebene „Remediation Gap“ an.(td)
