Wer dieser Tage die Sicherheitsmeldungen liest, reibt sich ungläubig die Augen. Der Microsoft-Patchday bricht alle Rekorde: Wie unter anderem PC-Welt und Golem.de berichten, wurden im Juli 2026 unfassbare 622 eigene Sicherheitslücken von Microsoft geschlossen. Zählt man die importierten Patches aus dem Chromium-Projekt dazu, kommt man auf die Rekordzahl von 1.050 behobenen Schwachstellen in einem einzigen Monat. Zum Vergleich: Das gesamte Jahr 2020 hielt mit 1.250 Lücken den bisherigen Jahresrekord. 2026 haben wir diese Marke bereits im Juli weit hinter uns gelassen.
Da stellt sich unweigerlich die frustrierte Frage: Waren die Entwickler bisher alle völlig unfähig, wurde nie richtig getestet, oder baut die KI inzwischen absichtlich Fehler ein, um uns zu beschäftigen?
Die Wahrheit hinter dieser beispiellosen Flut ist komplexer – und sie markiert den Beginn einer völlig neuen Ära in der IT-Sicherheit.
Die nackten Zahlen: Chrome und der „Patch-Apokalypse“-Effekt
Die Vermutung, dass die Zahlen explodieren, ist absolut richtig. Bei Google Chrome zeigt sich dieser Trend besonders extrem. Während früher Updates mit 20 bis 30 geschlossenen Lücken die Regel waren, erlebten wir in den letzten Monaten eine extreme Beschleunigung:
- Die Realität bei Chrome: Anfang Juni 2026 veröffentlichte Google Chrome Version 149 und korrigierte mit einem Schlag 429 Sicherheitslücken in einem einzigen Stable-Release – ein absoluter historischer Rekordwert für den Browser, wie unter anderem The Hacker News dokumentiert.
Dass wir das Gefühl haben, die Softwarequalität würde implodieren, liegt jedoch nicht daran, dass Entwickler plötzlich schlechter programmieren oder neue Features völlig ungeprüft auf den Markt werfen. Der Grund ist, dass die Gegenseite – die Werkzeuge zur Fehlersuche – durch KI eine astronomische Leistungssteigerung erfahren hat.
Der KI-Spürhund unter der Haube: Wie „Big Sleep“ den Code umgräbt
Wir erleben gerade einen Paradigmenwechsel. Die schiere Masse an Lücken wird nicht von menschlichen Analysten gefunden, sondern von hochspezialisierten, autonomen KI-Agenten.
Ein prominentes Beispiel hierfür ist Googles KI-Sicherheits-Projekt „Big Sleep“ (entwickelt in Kooperation von Google DeepMind und Project Zero). Big Sleep liest Code nicht nur wie ein stumpfer Rechtschreibprüfer, sondern agiert wie ein virtueller Elite-Hacker, der unermüdlich Schwachstellen aufspürt, verifiziert und meldet.
Wie die obige Grafik zeigt, nutzt das System einen ausgeklügelten Kreislauf: Ein KI-Agent steuert verschiedene Tools (darunter einen aktiven Debugger und einen Code Browser), um Schwachstellen nicht nur theoretisch zu vermuten, sondern in einer geschützten Sandbox-Umgebung direkt praktisch zu testen. Das System füttert sich selbst mit Feedback aus den Testläufen und verfeinert seine Angriffe so lange, bis es einen handfesten Exploit nachweisen kann.
Das führt dazu, dass jahrzehntealte Fehler, die von herkömmlichen automatischen Tests (sogenanntem Fuzzing) und menschlichen Code-Reviews übersehen wurden, nun im Minutentakt ans Tageslicht gespült werden:
Der Ursprung: Project Naptime
Ende 2024
Aus einer Kooperation von Google DeepMind und Project Zero entsteht ein LLM-basiertes Framework, das Code aktiv versteht und manipuliert. Es findet kurz darauf die erste reale Sicherheitslücke im Entwicklungscode der weit verbreiteten SQLite-Datenbank.
Weltweit erster vereitelter Zero-Day durch KI
Juli 2025
Big Sleep entdeckt eine kritische Lücke in SQLite (CVE-2025-6965), die Angreifer im Verborgenen bereits für einen Angriff vorbereiteten. Google patcht die Lücke, bevor Schadcode ausgenutzt werden kann – die erste erfolgreiche Präventiv-Verteidigung durch eine KI.
Erfolgreiche Jagd in iOS und Safari
Die KI-Agenten demonstrieren ihre Plattformunabhängigkeit: Big Sleep findet völlig eigenständig fünf kritische Speicherfehler in Apples WebKit-Engine (Safari). Apple behebt die Schwachstellen umgehend.
Die Chrome- und FFmpeg-Welle
Juni 2026
Neben dem Chrome-Rekord von 429 Patches findet ein spezialisierter KI-Agent des Startups depthfirst 21 Zero-Day-Lücken in der weit verbreiteten Medienbibliothek FFmpeg. Einige dieser Fehler schlummerten unentdeckt seit 23 Jahren im Code.
Microsofts KI-Offensive
Juli 2026
Microsoft setzt im großen Stil ein neues, internes KI-Analysesystem ein. Das Resultat ist die „Mutter aller Patchdays“ mit 622 geschlossenen Microsoft-Lücken an einem einzigen Dienstag.
Baut die KI absichtlich Fehler ein?
Es ist ein zweischneidiges Schwert. Natürlich bergen KI-Code-Assistenten wie GitHub Copilot das Risiko, dass unerfahrene Entwickler fehlerhaften Code generieren und diesen ungeprüft übernehmen.
Die aktuelle Rekordflut an Patches ist jedoch kein Resultat von schlechtem KI-Code, sondern das Ergebnis von KI-gestützten Audits. Wir jagen den Code unserer Betriebssysteme und Browser gerade durch den engmaschigsten Filter, den es je gab.
Das eigentliche Problem ist der Faktor Mensch:
Eine KI benötigt nur Sekunden und ein paar Cent an Rechenleistung, um eine hochkomplexe Schwachstelle im Code aufzuspüren. Doch das Verifizieren der Funde, das Schreiben der Patches, das Testen auf Nebenwirkungen und das Ausrollen der Updates auf Millionen von Rechnern weltweit erfordert nach wie vor menschliche Entwickler und Administratoren. Dieser Flaschenhals bringt IT-Abteilungen weltweit derzeit an den Rand des Wahnsinns.
Wir erleben also keine Phase, in der Software plötzlich schlechter wird – wir erleben eine Phase, in der wir endlich das wahre Ausmaß des „technischen Schuldenbergs“ sehen, den die IT-Branche über die letzten 30 Jahre angehäuft hat.
Fazit: Wenn das Bauchgefühl recht hat – und die KI uns austrickst
Ich verstehe dieses Gefühl absolut. Und um ehrlich zu sein: Sie stehen mit dieser Wahrnehmung keineswegs alleine da. Wenn man sich die Flut an täglichen Updates anschaut, drängt sich der paranoide Gedanke förmlich auf: Sabotiert uns die künstliche Intelligenz klammheimlich, um ihre eigene Existenzberechtigung als unentbehrlicher „Retter“ zu sichern?
Ganz so verschwörerisch ist die Realität zwar nicht, aber Ihr Bauchgefühl berührt einen extrem wunden Punkt der aktuellen Tech-Entwicklung.
Die zwei Gesichter der KI: Code-Schleuder vs. Detektiv
Dass wir das Gefühl haben, die KI baue mehr Fehler ein, als sie behebt, lässt sich technologisch tatsächlich begründen. Wir erleben derzeit einen heftigen Clinch zwischen zwei völlig verschiedenen KI-Einsatzgebieten:
- Die schlampige Generator-KI (z. B. GitHub Copilot & Co.): Hier liegt Ihr Gefühl völlig richtig. Entwickler nutzen immer häufiger generative KI, um Code im Akkordverfahren schreiben zu lassen. Das Problem: Diese Systeme sind darauf trainiert, plausibel klingenden Code zu liefern, nicht zwingend sicheren Code. Wer Code-Vorschläge blind per Tab-Taste übernimmt, schleust im Sekundentakt neue Sicherheitslücken, logische Fehler und Instabilitäten in die Software ein.
- Die gnadenlose Detektiv-KI (z. B. Big Sleep): Auf der anderen Seite stehen die hochpräzisen Analyse-KIs der IT-Sicherheit. Sie schreiben keinen Code, sondern jagen Fehler. Und weil sie das unermüdlich und millionenfach schneller tun als jeder Mensch, decken sie gerade alles auf – sowohl den neuen, schlampigen KI-Code als auch den 20 Jahre alten, fehlerhaften Menschen-Code.
Das persönliche Resümee: Wir stecken in einer paradoxen Übergangsphase. Solange die Industrie KI primär dazu nutzt, immer schneller noch mehr Code auf den Markt zu werfen, ohne die Qualitätskontrolle im gleichen Maße zu automatisieren, produziert die KI tatsächlich eine Schwemme neuer Fehler.
Das Gefühl trügt also nicht: Die KI füttert uns derzeit mit der einen Hand neue Fehler zu, während sie uns mit der anderen Hand (durch gigantische Patchdays) die Lücken um die Ohren haut. Erst wenn Sicherheits-KIs standardmäßig verhindern, dass ungeprüfter Code überhaupt eingecheckt wird, wird sich dieses frustrierende Gefühl der „Dauer-Baustelle“ wieder legen. Bis dahin ist gesundes Misstrauen gegenüber jedem KI-generierten Schnipsel die beste Überlebensstrategie.
Dieser Text ist unter Zuhilfenahme von Gemini entstanden🖥🌏♨
