Die gemeinsame Empfehlung von ENISA und CERT-EU vom November 2026 ergab, dass Frontier-KI-Modelle 220 mögliche Schwachstellen in 27 Codebasen von EU-Einrichtungen meldeten. Die Code-Verantwortlichen hatten bis zur Veröffentlichung 88 Funde bewertet und 95 % davon bestätigt. Die KI-Werkzeuge stuften den Schweregrad höher ein als die Code-Verantwortlichen, daher bleibt eine Triage durch Fachleute unverzichtbar.
Die Quelle ist das Dokument „Joint Advisory on the Use of Frontier AI Models for Code Review“, das die ENISA mit CERT-EU unter Schlüsselmaßnahme 4 des EU-Aktionsplans für Cybersicherheit und KI veröffentlicht hat (DOI 10.2824/7940736, CC BY 4.0). Jede Zahl unten stammt aus diesem Dokument.
Das Wichtigste in Kürze
- Frontier-KI-Modelle meldeten 220 mögliche Schwachstellen in 27 Codebasen. 25 der Codebasen waren Open Source, 2 standen kurz vor der Freigabe als Open Source.
- Die Code-Verantwortlichen bestätigten 95 % der 88 Funde, die sie bewertet hatten, und das Experiment führte zu 4 neuen CVE-IDs.
- Die KI-Werkzeuge stuften 42 von 88 bewerteten Funden als kritisch oder hoch ein. Nach der Prüfung stuften die Code-Verantwortlichen 22 der 88 als hoch ein.
- Bis zur Veröffentlichung hatten die Code-Verantwortlichen nur 40 % der Funde bewertet. Die Empfehlung nennt die Zeit für die fachliche Triage als Engpass.
- Alle Prüfläufe zusammen kosteten etwa 6.649 EUR, oder etwa 132 EUR je 10.000 Codezeilen.
Was haben ENISA und CERT-EU getestet?
Die ENISA hat mit Frontier-KI-Modellen den Quellcode von Open-Source-Software geprüft, die Organe, Einrichtungen und sonstige Stellen der EU pflegen. Die Modelle waren OpenAI GPT-5.5 Cyber, GPT-5.6 Cyber und GPT-6 Astra sowie Anthropic Mythos 5, jeweils über die strukturierten Zugangsprogramme der Anbieter.
Die Modelle liefen in Client-Werkzeugen (Codex, OpenCode) mit Sicherheits-Skills oder Plug-ins und in Vigilo, dem Sicherheits-Harness, das CERT-EU im September 2026 als Open Source freigegeben hat. Die Prüfungen nutzten nur den Quellcode. Keine laufende Anwendung wurde getestet, und die Modelle hatten keine Angaben zum Produktivbetrieb. Die Prüfläufe fanden im August 2026 in einer isolierten Container-Umgebung statt.
Wie genau waren die KI-Funde?
Die Code-Verantwortlichen bestätigten 95 % der 88 bewerteten Funde als echte Treffer. Die übrigen 5 %, also 4 Funde, waren Fehlalarme oder nicht anwendbar, meist weil den KI-Werkzeugen der Kontext zur Laufzeit fehlte.
Die Quote von 95 % gilt nur für die bewerteten 40 % der Funde. Ein echter Treffer kann trotzdem eine geringe Auswirkung haben. Die Code-Verantwortlichen stuften 9 der 88 bewerteten Funde als informativ ein.
Hat die KI den Schweregrad richtig eingestuft?
Nein. Die KI-Werkzeuge stuften den Schweregrad höher ein als die Code-Verantwortlichen. Die Empfehlung stellt fest, dass sich der Schweregrad eines Fundes selten allein aus dem Quellcode bestimmen lässt, weil er von Erreichbarkeit, Berechtigungen, vertrauenswürdigen Komponenten und akzeptierten Risiken abhängt.
| Schweregrad | KI-Einstufung (88 Funde) | Einstufung der Code-Verantwortlichen (88 Funde) |
|---|---|---|
| Kritisch | 3 | 0 |
| Hoch | 39 | 22 |
| Mittel | 30 | 29 |
| Niedrig | 16 | 24 |
| Informativ | 0 | 9 |
| Fehlalarm | 0 | 4 |
Quelle ist Abbildung 6 der Empfehlung. Die Empfehlung zeigt in Abbildung 2 auch eine KI-Verteilung für alle 220 Funde. Dieser Beitrag nutzt Abbildung 6, weil nur Abbildung 6 jede KI-Einstufung einer Einstufung der Code-Verantwortlichen gegenüberstellt.
Die Art des Werkzeugs machte einen Unterschied. Die Code-Verantwortlichen behielten den Schweregrad von Vigilo in 74 % der Fälle bei, gegenüber 60 % bei allgemeinen Coding-Agenten mit Sicherheits-Skill oder Plug-in. Vigilo prüft jeden Fund vor der Meldung in einem kritischen Gegenschritt.
Was hat das Experiment gekostet?
Die ENISA schätzt die Gesamtkosten aller Prüfläufe auf etwa 6.648,90 EUR, für 611.486.042 Tokens. Die durchschnittlichen Kosten je 10.000 Codezeilen lagen bei etwa 132,27 EUR. Die Zahlen sind Richtwerte, weil die ENISA kostenlosen Zugang zu den Modellen hatte.
Allgemeine Coding-Agenten waren schneller und günstiger. Vigilo brauchte länger und kostete mehr, weil es zusätzliche Schritte ausführt, etwa die kritische Gegenprüfung und das Erzeugen von Patches. Die Größe des Repositorys war nicht der einzige Kostentreiber. Auch die Art der Codebasis, ihre Architektur und die Zahl ihrer Einstiegspunkte veränderten die Laufzeit.
Warum ist die Triage jetzt der Engpass?
Die Code-Verantwortlichen erhielten alle 220 Funde im August 2026. Bis zur Veröffentlichung im November 2026 hatten sie 88 bewertet. Die Empfehlung stellt fest, dass das Prüfen, Priorisieren und Beheben von Funden weiter Zeit und Fachwissen braucht und sich noch nicht im gleichen Maß beschleunigen lässt wie die Entdeckung.
Beobachtung 13 legt beiden Seiten Pflichten auf. Meldende Personen sollen KI-Ergebnisse vor der Meldung entdoppeln und so weit wie möglich prüfen. Braucht die vollständige Prüfung Kontext zum Betrieb, den nur die Code-Verantwortlichen haben, soll die meldende Person das bei der Meldung angeben. Code-Verantwortliche brauchen genug Zeit und Mittel, um KI-Funde mit der gebotenen Sorgfalt zu bewerten.
Was bedeutet die Empfehlung für Hersteller unter dem CRA?
Ein Hersteller eines Produkts mit digitalen Elementen braucht nach Anhang I Teil II der Verordnung (EU) 2024/2847 eine Strategie für die koordinierte Offenlegung von Schwachstellen und eine Kontaktadresse für Schwachstellenmeldungen. KI-Werkzeuge machen mehr Meldungen wahrscheinlich, und viele davon werden einen Schweregrad nennen, der nur auf dem Quellcode beruht.
Aus der Empfehlung folgen drei praktische Schritte.
- Fragen Sie, wie der Fund bestätigt wurde. Ein nur im Quellcode bestätigter Fund braucht Ihre Angaben zum Betrieb, bevor Sie seinem Schweregrad vertrauen.
- Lassen Sie den Schweregrad eine Entscheidung von Menschen bleiben. Im Experiment stuften die Code-Verantwortlichen 22 der 88 Funde als hoch ein, gegenüber 42 kritischen oder hohen Einstufungen durch die KI-Werkzeuge.
- Halten Sie die Prüfung nach Artikel 14 getrennt. Die Art der Entdeckung startet die Frist nach Artikel 14 nicht. Belege für eine aktive Ausnutzung tun das. Siehe Does AI vulnerability discovery change CRA Article 14 reporting? (Englisch).
Der Anhang der Empfehlung beschreibt einen Zyklus in sieben Schritten für das KI-gestützte Schwachstellenmanagement. Die Schritte 3 und 5 sind die Triage durch qualifizierte Fachleute und die Meldung über den CVD-Kanal der Code-Verantwortlichen.
Wie unterstützt CVD Portal das?
Das Meldeformular von CVD Portal stellt zwei freiwillige Fragen. Die erste fragt, ob KI-Werkzeuge den Fund gemacht oder dabei geholfen haben. Die zweite fragt, wie die meldende Person den Fund bestätigt hat. Die Triage-Seite zeigt die Antworten, und bei einem nur im Quellcode bestätigten Fund bittet sie das Team, den angegebenen Schweregrad mit dem eigenen Betrieb abzugleichen. Forschende und ihre Agenten können dieselben zwei Felder über das öffentliche MCP-Werkzeug senden. Siehe die Dokumentation zum Meldeformular (Englisch).
Häufige Fragen
Wie viele Schwachstellen fand die KI im Experiment von ENISA und CERT-EU?
Frontier-KI-Modelle meldeten im August 2026 220 mögliche Schwachstellen in 27 Codebasen von EU-Einrichtungen. Bis zur Veröffentlichung im November 2026 hatten die Code-Verantwortlichen 88 der 220 Funde bewertet. Sie bestätigten 95 % der 88 als echte Treffer, und das Experiment führte zu 4 neuen CVE-IDs.
Bewerten KI-Modelle den Schweregrad einer Schwachstelle richtig?
Nicht ohne Kontext zum Betrieb, so die Empfehlung von ENISA und CERT-EU vom November 2026. Die KI-Werkzeuge stuften 42 von 88 bewerteten Funden als kritisch oder hoch ein. Nach der Prüfung stuften die Code-Verantwortlichen 22 der 88 als hoch ein, und die meisten Änderungen waren Herabstufungen.
Was hat das KI-Experiment der ENISA zur Code-Prüfung gekostet?
ENISA schätzt die Gesamtkosten aller Prüfläufe auf etwa 6.649 EUR, oder etwa 132 EUR je 10.000 Codezeilen, für 611 Millionen Tokens. Die Zahlen sind Richtwerte. Die Modellanbieter gaben der ENISA über ihre Zugangsprogramme kostenlosen Zugang.
Was soll eine meldende Person zu einem Fund mit KI-Hilfe angeben?
Die Empfehlung von ENISA und CERT-EU verlangt, KI-Ergebnisse vor der Meldung zu entdoppeln und so weit wie möglich zu prüfen. Braucht die vollständige Prüfung Kontext zum Betrieb, den nur die Code-Verantwortlichen haben, soll die meldende Person das bei der Meldung angeben.