Das KI-Rennen gegen die Zeit
Mehr Schwachstellen, schneller entdeckt, früher ausgenutzt.
Globale CVE-Explosion
72,812
Die im Jahr 2026 bis September veröffentlichten CVEs liegen bereits 51 % über dem Wert des gesamten Jahres 2025.
Verkürzung der Zeit bis zur Ausbeutung
-7 Tage
Mittlere Ausnutzzeit im Jahr 2025: Angriffe beginnen jetzt im Durchschnitt, bevor ein Patch veröffentlicht wird.
Was die CRA erwartet
Die Hersteller müssen ENISA und ihr nationales CSIRT in drei Schritten benachrichtigen, beginnend bereits 24 Stunden nach Bekanntwerden einer ausgenutzten Sicherheitslücke.
24 Stunden
Vorwarnung
Erste Warnung mit Angabe der vermuteten Ursache und der betroffenen Länder
72 Stunden
Benachrichtigung
Einzelheiten zur Schwachstelle, betroffenen Produkten und ergriffenen Gegenmaßnahmen
14d
Abschlussbericht
Innerhalb von 14 Tagen nach Verfügbarkeit einer Lösung, mit Angabe des Schweregrades, der Auswirkungen und der Korrekturmaßnahme
Bereit, innerhalb von 24 Stunden Bericht zu erstatten?
Um jede Frist einzuhalten, benötigen Sie schnelle Antworten:
- Handelt es sich hierbei um echte Schwachstellen oder nur um potenzielle Sicherheitslücken?
- Sind sie in Ihrem Produkt erreichbar und nutzbar?
- Ist eine verifizierte Lösung verfügbar oder kann schnell eine generiert werden?
Die Schwachstellenmanagementlücke der CRA
Die CRA macht Sie für jede Schwachstelle in Ihrem Produkt verantwortlich, egal ob sie in Ihrem eigenen Code, einer Drittanbieterkomponente oder einer Open-Source-Bibliothek liegt. Die Verpflichtungen sind gesetzlich festgelegt, der damit verbundene Arbeitsaufwand wächst jedoch stetig.
Mehr Code, schnellere Releases
KI-gestützte Entwicklung bedeutet mehr Code, mehr Abhängigkeiten und kürzere Releasezyklen. Jedes Release bringt neue Eigenentwicklungen, Drittanbieterkomponenten und Open-Source-Komponenten sowie neue Sicherheitslücken mit sich.
Schwer zu priorisieren
Ohne Nachweise für Ausnutzbarkeit bestimmen allein die Schweregradbewertungen die Reihenfolge der Aufgaben. Teams verschwenden ihre Zeit mit irrelevanten Informationen, während das tatsächliche Risiko unberücksichtigt bleibt.
Kein Risikonachweis
Scanner melden Tausende von Treffern, zeigen aber selten an, ob eine Schwachstelle erreichbar, ausnutzbar und für Ihr Produkt relevant ist.
Dünner Prüfpfad
Interner Code und externe Komponenten werden oft in getrennten Arbeitsabläufen verwaltet, wobei Entscheidungen über Tickets, Chats und Tabellenkalkulationen verstreut sind. Innerhalb von 24 oder 72 Stunden nachvollziehbare, revisionssichere Nachweise zu erbringen, ist nahezu unmöglich.
KI-gestützte Schwachstellenbehebung, integriert in Ihren Entwicklungszyklus
Keysight AI Analysis für CRA ist ein KI-gestützter Codeanalysedienst mit Schwachstellenmanagement, der den gesamten Lebenszyklus von Schwachstellen automatisiert. Basierend auf Keysights Sicherheitsexpertise identifiziert unser proprietäres KI-gestütztes Framework Schwachstellen, testet deren Ausnutzbarkeit, schlägt Korrekturen vor und validiert diese sowie jeden Schritt.
Hauptkompetenzen
Intelligente Triage
Priorisiert SBOM-basierte CVEs und SAST-Ergebnisse, filtert falsch positive Ergebnisse heraus und ordnet ausnutzbare Risiken an erste Stelle.
Bestätigte Korrekturen
Erstellt, testet und validiert jede Korrektur in einer Sandbox, um zu bestätigen, dass die Sicherheitslücke behoben ist.
Erreichbarkeitsanalyse
Zeigt, welche Schwachstellen von realen Produktionszugangspunkten aus tatsächlich erreicht und ausgenutzt werden können.
CRA-Beweise
Erstellt nachvollziehbare, revisionssichere Datensätze für den Umgang mit Schwachstellen, die koordinierte Offenlegung, die Meldung von Vorfällen und die Konformitätsbewertung.
- Onboarding
- Erstbeurteilung
- KI-Analyse und -Validierung
- Ergebnisübersicht
- Retrospektiv
Onboarding
Sie gewähren uns Zugriff auf Ihr Quellcode-Repository und Ihre Umgebungsdetails. Da wir den Quellcode und nicht die Binärdateien analysieren, verweist jeder Befund auf die exakte Zeile, und Korrekturen werden als sofort integrierbare Patches bereitgestellt.
Erstbeurteilung
Keysight prüft die Voraussetzungen und beseitigt Hindernisse gemeinsam mit Ihnen vor der vollständigen Analyse.
KI-Analyse und -Validierung
Unser Framework sammelt SCA-Daten und führt KI-gesteuerte SAST durch, anschließend wird eine Sandbox gestartet, um Erreichbarkeit und Ausnutzbarkeit zu testen und jeden Patch zu verifizieren.
Ergebnisübersicht
Ihr Team und Keysight überprüfen gemeinsam die Ergebnisse, die Patch-Ergebnisse und die Empfehlungen zur Fehlerbehebung.
Retrospektiv
Wir identifizieren Lücken in der Abdeckung und sammeln Feedback für zukünftige Verbesserungen.
Alle Optionen umfassen Eigenentwicklungen, Drittanbieter-Code und Open-Source-Code in einem einheitlichen KI-Workflow; die Integration von CI/CD-Pipelines folgt in Kürze.
Ihre IP-Adresse bleibt Ihre.
Ihr Quellcode ist Ihr wertvollstes Gut. Wir behandeln ihn auch so.
- Hosten Sie Projekte auf Offline-KI-Servern, ohne dass Daten in die Cloud gesendet werden.
- Wählen Sie KI-Modelle, die den regionalen Vorschriften entsprechen.
- Option zur Ausführung auf KI-Cloud-Dienstleistern
- Keine Schulung zu Kundendaten
Häufig gestellte Fragen
Die Meldepflicht für aktiv ausgenutzte Sicherheitslücken und schwerwiegende Vorfälle gilt ab dem 11. September 2026. Die übrigen Anforderungen, einschließlich des Umgangs mit Sicherheitslücken und der SBOMs, gelten ab dem 11. Dezember 2027.
Nein. Die KI schlägt Patches vor und überprüft sie in einer Sandbox. Kritische Patches werden immer von einem Menschen geprüft, bevor sie in Ihren Quellcode gelangen.
Nein. Projekte können auf Offline-KI-Servern ausgeführt werden, und Ihre Daten werden niemals zum Trainieren von Modellen verwendet.
Sie wissen bereits, welche Schwachstellen in Ihrem Produkt erreichbar und ausnutzbar sind, und jeder Fund ist nachvollziehbar dokumentiert. Sobald eine neue ausgenutzte Schwachstelle auftritt, können Sie die Auswirkungen schnell einschätzen und einen Bericht mit entsprechenden Nachweisen erstellen.
Die Ergebnisse fließen in Ihren bestehenden Workflow ein, beispielsweise als priorisierte Jira-Tickets oder Sprint-Elemente.
Mit einem Machbarkeitsnachweis für eines Ihrer eigenen Produkte. Dabei werden die fünf oben genannten Schritte befolgt und mit einer Retrospektive der Ergebnisse abgeschlossen.