Wie Commvault „Frontier AI“ nutzt, um seine Software zu verbessern

Die wichtigsten Erkenntnisse 

• Commvault integriert die auf modernster KI basierende Schwachstellenerkennung in sein risikobasiertes Sicherheitsprogramm, anstatt sich auf KI als eigenständige Lösung zu verlassen.
• Jeder von einer KI generierte Befund wird von Menschen überprüft und validiert, bevor Entscheidungen zur Behebung getroffen werden.
• Frontier AI ergänzt etablierte Sicherheitsverfahren wie statische Analyse, dynamische Analyse und Penetrationstests, indem es die Codeabdeckung erweitert und komplexere Exploit-Szenarien identifiziert.
• Commvault wendet strenge Richtlinien in Bezug auf den Quellcode, den Zugriff von Lieferanten und den Umgang mit Sicherheitslücken an.
• Commvault investiert in skalierbare Prozesse zum Schwachstellenmanagement, um effizient reagieren zu können, da KI das Volumen potenzieller Sicherheitsbefunde erhöht.

In der gesamten Sicherheitsbranche werden KI und große Sprachmodelle zur Erkennung von Schwachstellen eingesetzt – sie helfen den Teams dabei, mehr Code zu bewerten, mehr Angriffspfade zu untersuchen und ausnutzbare Schwachstellen schneller zu identifizieren, als dies durch eine manuelle Überprüfung allein möglich wäre. Dies ist kein Nischen-Experiment. Es handelt sich um einen Wandel hinsichtlich der Gründlichkeit, mit der eine Sicherheitsbewertung durchgeführt werden kann, und es verändert die Erwartungen, die Kunden zu Recht an ihre Softwareanbieter stellen.  

Kunden fragen ihre Softwareanbieter regelmäßig: Testen Sie Ihre eigenen Produkte mit denselben Methoden, die auch Angreifer anwenden könnten? Sind die Prozesse hinter diesen Tests streng genug, um mit den Entwicklungen Schritt zu halten? Das sind die richtigen Fragen, die man stellen sollte. 

Unser Ansatz: Solide Prozesse, kein einzelnes Tool

Die Sicherheitsstrategie von Commvault basiert auf soliden, wiederholbaren Prozessen und nicht auf der Abhängigkeit von einem einzelnen Tool, Modell oder Anbieter.

Das Schwachstellenmanagement folgt einem etablierten, risikobasierten Rahmenkonzept: Die Ergebnisse werden hinsichtlich ihrer praktischen Ausnutzbarkeit bewertet, nach Schweregrad und Risiko priorisiert und im Rahmen unseres standardmäßigen Entwicklungslebenszyklus behoben. Dieses Rahmenkonzept wird in gleicher Weise angewendet, unabhängig davon, ob ein Befund aus einem Penetrationstest, von einem externen Forscher oder durch KI stammt.

Die Erkennung von Schwachstellen durch KI ist als zusätzliche Funktion in dieses Rahmenkonzept integriert und stellt kein separates Programm dar, das nach eigenen Regeln läuft. Durch KI-Methoden generierte potenzielle Befunde werden als Eingaben behandelt, deren Ausnutzbarkeit von Menschen bestätigt werden muss, bevor Behebungsmaßnahmen ergriffen werden. Dieser Schritt hilft dabei, gleich zwei Fehlerquellen zu vermeiden: die Unterbewertung echter Risiken und den Zeitverlust durch Fehlalarme.  

KI in Verbindung mit bewährten Sicherheitsverfahren

KI-Methoden ersetzen nicht die Disziplinen, die seit jeher ein verantwortungsbewusstes Schwachstellenmanagement ausmachen. Statische Analysen, dynamische Analysen, Penetrationstests und bewährte Scan-Tools bleiben wesentliche Bestandteile unseres Programms. Der Mehrwert der KI liegt in der Tiefe der Abdeckung: Sie ermöglicht es, eine größere Bandbreite an Codepfaden zu bewerten, komplexere Ausnutzungsszenarien zu modellieren und Ergebnisse aufzudecken, die ein kontextbezogenes Verständnis erfordern und nicht nur auf dem Abgleich einfacher Muster beruhen.

Unser Schwachstellenprogramm ist von Grund auf tool- und modellunabhängig konzipiert. Wir sind nicht von einem bestimmten Anbieter oder Modell abhängig, und neue Ansätze können nach und nach integriert werden, sobald sie sich bewährt haben, ohne dass die Art und Weise, wie Befunde verwaltet oder behoben werden, neu gestaltet werden muss. Der Vorteil liegt nicht darin, welches Modell wir verwenden, sondern darin, ob der dahinterstehende Prozess diszipliniert genug ist, um auf die Ergebnisse dieses Modells zu reagieren.  

Führung und Kontrollmechanismen

Jeder von uns durchgeführte KI-Scan unterliegt denselben Governance-Grundsätzen:  

• KI-Modelle werden vor ihrer Nutzung geprüft. Der Zugriff auf Anbieter und Tools unterliegt formellen Geheimhaltungsvereinbarungen und Vertragsbedingungen.
• Die Ergebnisse werden über dieselbe Pipeline zur Sicherheitsprüfung verarbeitet, die auch für alle anderen Quellen von Sicherheitslücken verwendet wird.
• Kein von einer KI generierter Befund wird ohne menschliche Überprüfung und Bestätigung der Verwertbarkeit weiterverfolgt.

Von der Kandidatensuche bis zur endgültigen Besetzung

Durch KI ermittelte Befunde werden als potenzielle Schwachstellen behandelt, nicht als bestätigte Schwachstellen. Jeder einzelne wird von Ingenieuren und Produktsicherheitsexperten hinsichtlich seiner praktischen Ausnutzbarkeit in realistischen Kundenumgebungen bewertet. Die Schweregrade werden anhand der Gefährdung, der Ausnutzbarkeit und der Auswirkungen zugewiesen – nicht danach, wie der Befund entdeckt wurde. Bestätigte Schwachstellen durchlaufen dieselben Behebungszeitpläne und Eskalationswege wie alle anderen Quellen, wobei die Priorität anhand des Schweregrads und der Gefährdung festgelegt wird.  

Erste Ankündigungen zum „Patch Tuesday“ – August 2026

Unser erster „Patch Tuesday“, der am 11. August 2026 veröffentlicht wurde, enthält die folgenden Informationen:  

Die vollständigen technischen Hinweise, einschließlich der betroffenen Versionen und Anleitungen zur Behebung des Problems, finden Sie auf unserer Seite „Sicherheitshinweise“. Weitere Informationen zur Umstellung auf einen monatlichen Rhythmus finden Sie unter „Vertrauen in CVE-Offenlegungen schaffen “.  

Warum Einsatzbereitschaft wichtiger ist als jedes einzelne Tool

Da die Erkennung von Schwachstellen mittels KI branchenweit zur Standardpraxis wird, wird die Menge potenzieller Befunde, die Sicherheitsteams bewerten müssen, weiter steigen. Die entscheidende Frage für jeden Anbieter von Unternehmenssoftware lautet nicht, welches KI-Modell er verwendet. Es geht vielmehr darum, ob sein Schwachstellenmanagementprozess ausgereift und skalierbar genug ist, um diesen Durchsatz zu bewältigen, ohne dass ein Rückstau entsteht, der das Risiko für die Kunden erhöht. 

Unsere Investitionen in KI gehen Hand in Hand mit ebenso umfangreichen Investitionen in die Prozessinfrastruktur, die erforderlich ist, um auf die von der KI identifizierten Probleme zu reagieren: Triage-Kapazitäten, Priorisierung nach Schweregrad, Nachverfolgung von Abhilfemaßnahmen und koordinierte Offenlegungsverfahren. Unsere Investitionen sind nur so wertvoll wie die dahinterstehende Reaktionsfähigkeit.  

FAQs

F: Was unternimmt Commvault im Bereich der Sicherheitsprüfungen für innovative KI-Lösungen? A: Im Rahmen unseres strukturierten Sicherheitsentwicklungsprogramms evaluieren wir unsere Produkte aktiv mithilfe von KI-Methoden. Wir gehen bei der Erprobung verschiedener Modelle und Testumgebungen sorgfältig vor, um potenzielle Schwachstellen aufzudecken, die zuvor von Menschen und/oder bestehenden Tests unentdeckt geblieben sind. Diese Arbeit folgt demselben Schwachstellenmanagementprozess wie jede andere Form des Testens. Dies wird bereits heute umgesetzt – es handelt sich nicht um einen Punkt auf der Roadmap. F: Wie bereitet sich Commvault auf die Erkennung von KI-Schwachstellen vor? A: Wir haben ein Programm entwickelt, das von Grund auf modell- und toolunabhängig konzipiert ist. Unser Ziel ist es, sicherzustellen, dass unsere Sicherheitsentwicklungspraktiken die besten verfügbaren Methoden aus einer Vielzahl von KI-Tools in einem einheitlichen Governance- und Risikomanagement-Rahmenwerk vereinen können. 

F: Nutzt Commvault diese Modelle sicher? A: Ja. Alle KI-Scans werden gründlich geprüft. Der Zugriff durch Anbieter und Tools unterliegt formellen Geheimhaltungsvereinbarungen und Vertragsbedingungen, und jeder von der KI generierte Befund muss von einem Menschen auf Ausnutzbarkeit überprüft werden, bevor Abhilfemaßnahmen ergriffen werden. F: Wie passt Commvault das Schwachstellenmanagement an das Zeitalter der KI an?

A: Unser Fokus liegt darauf, sicherzustellen, dass der Bearbeitungsprozess mit dem Umfang der Untersuchungsergebnisse und dem Tempo der Datenauswertung Schritt hält. Da KI die Anzahl potenzieller Befunde erhöht, die unsere Teams prüfen müssen, investieren wir in risikobasierte Triage, einheitliche Service-Level-Vereinbarungen für die Behebung sowie die operative Infrastruktur, die erforderlich ist, um den höheren Durchsatz bei der Erkennung innerhalb verkürzter Zeiträume zu bewältigen und so das Risiko für unsere Kunden zu verringern. 

Bill O’Connell ist Chief Security Officer bei Commvault.