Laut heise online vom 6. November 2026 hat OpenAI mit GPT-6 Cyber ein KI-Modell vorgestellt, das auf die Suche nach Schwachstellen in IT-Systemen trainiert ist. Nach Angaben des Herstellers fand es bereits zahlreiche Sicherheitslücken in Linux und Firefox. Die vorgegebenen Grenzen habe es in weniger als einem Prozent der Fälle überschritten, beim Vorgänger GPT-5.6 Cyber seien es rund 5 Prozent gewesen. In Tests mit ausdrücklichen Grenzvorgaben habe es sich zu 100 Prozent daran gehalten. Bei kritischer Infrastruktur geht das Modell vorsichtiger vor. Für CISO in Banken und Versicherern ergibt sich daraus ein praktischer Ablauf. Erstens wird schriftlich festgelegt, welche Systeme geprüft werden dürfen und welche nicht. Zweitens werden alle Aktionen des Werkzeugs protokolliert. Drittens werden die Funde in das Schwachstellenregister übernommen, jeweils mit Verantwortlichem und Frist. Umgesetzt ist das, wenn jeder Fund einen Eigner und ein Datum trägt. Die Herstellerangaben sind nicht unabhängig geprüft; sie ersetzen keine eigene Erprobung im Testbetrieb. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank hat sich bewährt, neue Prüfwerkzeuge zunächst in einer abgegrenzten Testumgebung zu erproben.
Qvestcon News
KI für Schwachstellensuche: Grenzen vorab festlegen
Laut heise online vom 6. November 2026 hat OpenAI mit GPT-6 Cyber ein KI-Modell vorgestellt, das auf die Suche nach Schwachstellen in IT-Systemen trainiert ist. Nach Angaben des Herstellers fand es bereits zahlreiche Sicherheitslücken in Linux und Firefox. Die vorgegebenen Grenzen habe es in weniger als einem Prozent der Fälle überschritten, beim Vorgänger GPT-5.6 Cyber seien es rund 5 Prozent gewesen. In Tests mit ausdrücklichen Grenzvorgaben habe es sich zu 100 Prozent daran gehalten. Bei kritischer Infrastruktur geht das Modell vorsichtiger vor. Für CISO in Banken und Versicherern ergibt sich daraus ein praktischer Ablauf. Erstens wird schriftlich festgelegt, welche Systeme geprüft werden dürfen und welche nicht. Zweitens werden alle Aktionen des Werkzeugs protokolliert. Drittens werden die Funde in das Schwachstellenregister übernommen, jeweils mit Verantwortlichem und Frist. Umgesetzt ist das, wenn jeder Fund einen Eigner und ein Datum trägt. Die Herstellerangaben sind nicht unabhängig geprüft; sie ersetzen keine eigene Erprobung im Testbetrieb. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank hat sich bewährt, neue Prüfwerkzeuge zunächst in einer abgegrenzten Testumgebung zu erproben.
Diese Einordnung bezieht sich auf die verlinkte Originalquelle. Sie ist keine Rechtsberatung im Einzelfall.