Umfrage: Sicherheitsteams werden gegenüber vollständig automatisierten Pentest-Tools zunehmend skeptisch

Laut einem neuen Bericht des Offensive-Security-Unternehmens Cobalt scheinen Sicherheitsexperten zunehmend das Vertrauen in vollständig automatisierte Penetrationstests zu verlieren.

Die Umfrage „State of Pentesting 2026“ des Unternehmens legt nahe, dass viele Teams von Tools enttäuscht sind, die eine breite Abdeckung versprechen, in der Praxis jedoch schwerwiegende Probleme übersehen. Cobalt zufolge berichteten 78 % der Befragten von „kritischen falsch-negativen Ergebnissen“ durch automatisierte Scanner – insbesondere bei der Prüfung von Umgebungen mit Komponenten auf Basis künstlicher Intelligenz und großer Sprachmodelle.

Warum die Skepsis zunimmt

Cobalt zufolge sind herkömmliche Scanner weiterhin nützlich, um bekannte, signaturbasierte Schwachstellen zu finden. Das Problem bestehe jedoch darin, dass diese Tools häufig Schwierigkeiten mit Schwachstellen hätten, die mehr Kontext, verkettete Interaktionen oder ein menschenähnliches Vorgehen erfordern.

Das ist bei KI-gesteuerten Systemen besonders relevant, da Sicherheitsprobleme wie Prompt-Injection oder eine übermäßige Autonomie von Agenten möglicherweise erst nach mehreren Interaktionsschritten sichtbar werden. Cobalt zufolge ist es unwahrscheinlich, dass solche Logikfehler durch automatisierte Prüfungen in einem einzigen Durchlauf aufgedeckt werden.

• Nur 9 % der Befragten gaben an, für vollständig autonome Penetrationstests offen zu sein – gegenüber 29 % im Vorjahr.
• 78 % erklärten, kritische falsch-negative Ergebnisse durch automatisierte Tools beobachtet zu haben.
• In herkömmlichen Umgebungen wurden etwa 12 % der entdeckten Schwachstellen als hoch oder kritisch eingestuft.
• In KI- und LLM-Umgebungen stieg dieser Anteil laut Cobalt auf 32 % und liegt seit zwei Jahren auf diesem Niveau.

Hybride Tests gewinnen an Zuspruch

Cobalt zufolge ist die Abkehr von vollständiger Automatisierung nicht unbedingt ein Rückschlag für die Branche. Stattdessen suchten Unternehmen zunehmend nach verlässlicher Absicherung und nicht lediglich nach einer möglichst umfassenden Scan-Abdeckung. Die sensibelsten Systeme benötigten weiterhin menschliches Urteilsvermögen.

Die Stichprobe des Berichts war mit 450 Befragten relativ klein. Die Ergebnisse spiegeln jedoch eine größere Sorge in der Branche wider: Die KI-gestützte Entwicklung erzeugt mehr Sicherheitsarbeit, als viele Teams problemlos bewältigen können.

Nicht alle sind derart vorsichtig. CJ Moses, Amazons Sicherheitschef, erklärte, KI-basierte Penetrationstests hätten die Effizienz der Teams verbessert. Gleichzeitig betonte er, dass Menschen weiterhin in Entscheidungsfindung und Aufsicht eingebunden bleiben müssten.

Derzeit scheint der Trend für einen gemischten Ansatz zu sprechen: automatisierte Tools für die Skalierung und menschliche Tester für die schwierigsten Probleme.