Sam Altman stellt das klassische Patchen infrage

Sam Altman formuliert einen Satz, der in der Sicherheitsbranche hängen bleibt: Es werde wohl nicht mehr möglich sein, alle Bugs einfach wegzupatchen. Stattdessen müsse sich das Verteidigungsmodell komplett ändern.

Der Punkt ist ernster, als es auf den ersten Blick klingt. Die klassische Logik der IT-Sicherheit ist altbekannt: Schwachstelle finden, Update bauen, Patch ausrollen. Dieses Modell war nie perfekt, aber es war über Jahrzehnte das Rückgrat der Abwehr. Wenn Altman nun offen anzweifelt, dass dieser Mechanismus noch reicht, dann ist das mehr als eine steile These. Es ist ein Eingeständnis, dass die Komplexität moderner Software aus dem Ruder läuft.

Der Druck kommt aus mehreren Richtungen. Software steckt heute in gewachsenen Plattformen, Cloud-Diensten, APIs, Geräten und Tools, die ständig verändert werden. Dazu kommt KI-gestützte Entwicklung, die Code schneller produziert als viele Teams ihn sauber prüfen können. Mehr Tempo heißt nicht automatisch mehr Qualität. Oft ist das Gegenteil der Fall: Es entsteht mehr Angriffsfläche, und zwar schneller.

Genau hier trifft Altmans Aussage einen wunden Punkt. Patchen ist reaktiv. Es setzt voraus, dass Fehler erkannt, verstanden und behoben werden, bevor sie großen Schaden anrichten. Diese Rechnung geht schlechter auf, wenn Systeme größer, Lieferketten länger und Angreifer automatisierter werden. Wer darauf nur mit noch mehr Updates antwortet, rennt dem Problem hinterher.

Was also heißt „Verteidigungsmodell wechseln“? In der Praxis läuft das auf einen Sicherheitsansatz hinaus, der Fehler einkalkuliert statt ihre vollständige Beseitigung zu versprechen. Zero-Trust-Architekturen, starke Isolation, minimale Rechte, bessere Laufzeitüberwachung und Systeme, die Angriffe begrenzen, werden wichtiger. Die Frage ist dann nicht mehr nur: Wie verhindern wir jeden Bug? Sondern: Wie bauen wir Software so, dass ein Bug nicht sofort zum Totalschaden wird?

Das ist eine unbequeme Verschiebung. Sie verlangt mehr als gute Absichten und Bug-Bounties. Unternehmen müssten Software anders entwerfen, Infrastruktur härter absichern und Sicherheitsfunktionen früher in die Entwicklung holen. Für viele Teams heißt das: mehr Aufwand, mehr Kosten, weniger Romantik rund um „move fast“.

Altman benennt damit ein Problem, das die Branche lange kennt, aber gern verwaltet statt löst. Wer immer mehr KI in Entwicklung und Betrieb drückt, kann nicht so tun, als ließe sich dieselbe Sicherheitslogik aus der Patch-Ära einfach hochskalieren. Wenn Maschinen schneller Code schreiben, testen und angreifen helfen, muss Abwehr näher an die Architektur rücken.

Die eigentliche Botschaft ist deshalb klar: Patches verschwinden nicht. Aber sie verlieren ihren Status als Hauptantwort. Wer Sicherheit noch immer vor allem als Update-Zyklus denkt, arbeitet an der Vergangenheit.