Was es ist

Ein Agent ist ein Programm, das auf ein Ziel hin schließt, statt ein festes Skript abzuspulen. Geben Sie ihm ein Ziel und eine Aufgabe — „finde, was ein Angreifer hier tatsächlich erreichen könnte“ — und er entscheidet anhand des bereits Gesehenen, was als Nächstes zu versuchen ist: Angriffsfläche kartieren, Hypothese bilden, testen, Antwort lesen, korrigieren, weiter. Agentisches Pentesting ist genau diese Schleife, gerichtet auf Offensive Security.

Er schließt, er skriptet nicht: hin zu einem Ziel schließen, nicht eine feste Batterie abarbeiten

Er liegt zwischen den beiden heute genutzten Mitteln. Ein Scanner fährt eine feste Prüfbatterie und meldet alles, was auf eine Signatur passt — schnell, aber kontextblind und laut vor Fehlalarmen. Ein menschlicher Pentester schließt über die konkrete Anwendung und ihre Geschäftslogik — langsam, teuer und eine Momentaufnahme einer Woche. Ein Agent zielt auf das Schließen des Pentesters bei annähernd der Reichweite des Scanners und überlässt die Ermessensentscheidungen einer Person.

Warum Offensive Security stockte

Das meiste der Sicherheit hat sich modernisiert — Continuous Integration, Cloud, automatisierte Verteidigung. Offensive Security weitgehend nicht. Sie wird noch überwiegend als Dienstleistung von Hand erbracht und trägt drei Probleme, die nie verschwanden:

Zeitpunktbezogen. Ein Pentest beschreibt die Anwendung so, wie sie in der Testwoche war. Das nächste Deployment kann den Bericht entwerten.
Schwer skalierbar. Gute Tester sind knapp und teuer, also wird Tiefe rationiert. Viele Projekte stützen sich auf Junior- oder ausgelagerte Arbeit und optimieren Fundmenge statt Qualität.
Compliance vor Sicherheit. Zu oft wird der Test zum Haken für ein Audit statt zum ehrlichen Versuch, das System zu brechen.

Die bisherigen Grenzen der Automatisierung

Automatisierte Werkzeuge schlossen einen Teil der Lücke für Infrastruktur, wo Ziele einander ähneln. Bei Webanwendungen bleiben sie durchweg zurück, und der Grund ist das Last-Mile-Problem: Jede Anwendung ist anders. Die Fehler, die zählen — gebrochene Zugriffskontrolle, Geschäftslogikfehler, verkettete Schwachstellen — hängen davon ab, zu verstehen, wofür ein bestimmter Endpunkt da ist, was eine Signatur nicht abbilden kann.

Das ist dieselbe Wand, gegen die die alte DAST-Kategorie lief: Sie konnte ein Muster melden, aber nicht schließen, ob es hier zählt, noch was als Nächstes zu tun ist. Also zahlten Teams weiter für menschliches Testen — nicht weil die Werkzeuge nicht liefen, sondern weil sie nicht dachten.

Was ein Agent ändert

Sprachmodelle machten das fehlende Stück praktikabel: ein System, das den Kontext einer Anwendung halten und sein Testen daran anpassen kann. Sorgfältig eingesetzt macht das aus drei Dingen, die sich bisher ausschlossen, Eigenschaften, die man zugleich haben kann:

Kontinuierlich statt jährlich. Das Testen kann bei jeder Änderung laufen, sodass das Ergebnis der Anwendung folgt, statt die Version vom letzten Quartal zu beschreiben.
Kontextbewusst statt signaturgebunden. Der Agent geht vom tatsächlichen Verhalten der Anwendung aus: welche Objekte existieren, welche Rollen sie erreichen, wofür ein Aufruf da ist.
Eine kurze, verifizierte Liste statt eines Backlogs. Die Ausgabe soll die Handvoll wirklich ausnutzbarer Probleme sein, mit Schritten zur Reproduktion — nicht Tausende unsortierter „potenzieller“ Funde.

Wie es funktioniert

Was dies vertrauenswürdig macht, ist gerade, das Modell nicht frei improvisieren zu lassen. Bei CyberStrike schließt der Agent auf einer deterministischen Engine, die die Arbeit erledigt, in der ein Modell schlecht ist: Sie nimmt jede Anfrage und Antwort auf, führt Hunderte Regeln aus, baut eine identitätsübergreifende Karte, welche Rollen welche Objekte und Funktionen erreichten, prüft Injektionspunkte und spielt Anfragen unter strengen Sicherheitsgrenzen erneut ab. Diese Engine liefert die Grundwahrheit.

Die Aufgabe des Agenten ist zu entscheiden, was zu verfolgen ist — welche Spuren ausnutzbar wirken, welche Kette als Nächstes zu versuchen ist — und zu begründen, warum. Belege kommen aus der Engine, nicht aus der Fantasie des Modells; ein Fund stützt sich also auf echten Verkehr, den eine Person erneut abspielen kann. Das Urteil ist das des Agenten; die Fakten sind deterministisch.

Was Agenten noch nicht können

Hier zählt Ehrlichkeit mehr als Begeisterung. Die Technik ist nicht fertig, und wer anderes behauptet, verkauft etwas:

Modelle halluzinieren. Ein Sprachmodell behauptet mitunter eine Schwachstelle, die es nicht gibt. Genau deshalb müssen Funde an reproduzierbare Belege gebunden sein, und ein selbstsicherer Bericht ist nicht dasselbe wie ein echter Fehler.
Die Ausgabe ist nicht deterministisch. Zweimal derselbe Prompt kann verschiedene Wege ergeben. Reproduzierbarkeit muss aus der Engine und dem aufgezeichneten Verkehr kommen, nicht daraus, dass das Modell sich selbst zustimmt.
Sicherheit und Autorisierung sind menschliche Entscheidungen. Umfang, Rules of Engagement und „ist es sicher, diese Anfrage gegen die Produktion zu senden“ gehören nicht in die Hand eines autonomen Prozesses.

Der Agent prüft, ein Mensch entscheidet: Human-on-the-Loop, keine volle Autonomie

Das realistische Modell ist daher Human-on-the-Loop: Der Agent liefert Breite und Fleißarbeit, und eine Person validiert die Funde, verantwortet die riskanten Entscheidungen und steht für den Bericht ein. Diese Paarung — nicht volle Autonomie — ist heute lieferbar.

Wo es hingehört

Agentisches Pentesting schafft weder menschliche Tester noch die Audit-Abnahme ab. Es ändert, womit der Mensch Zeit verbringt: weniger damit, jedes Quartal dieselbe Fläche neu zu entdecken, mehr damit, echte Funde zu validieren und die Entscheidungen zu treffen, die Verantwortung erfordern. Das Testen wird kontinuierlich; die Person wird zum Prüfer statt zum Crawler.

Das ist der ganze Anspruch, und er ist bewusst bescheiden. Offensive Security war stets der direkteste Weg, echtes Risiko zu verstehen. Sie war nur zu langsam und zu knapp, um überall eingesetzt zu werden. Diese Lücke zu verkleinern — und zugleich klar zu benennen, was weiterhin eine Person braucht — ist die nützliche Version dieser Technik.

CyberStrike ist eine KI-gestützte Penetrationstest-Plattform, derzeit im Early Access. Den Agenten und die Engine dahinter sehen? Plattform erkunden oder der Warteliste beitreten.