AWS Continuum: KI findet und behebt Code-Schwachstellen

Amazon Web Services hat die Funktion zur Erkennung und Behebung von Code-Schwachstellen in seinem Sicherheitsdienst AWS Continuum allgemein verfügbar gemacht. Sie prüft Funde auf ihre tatsächliche Ausnutzbarkeit, priorisiert sie nach ihren möglichen geschäftlichen Auswirkungen und schlägt Korrekturen vor.

Laut der AWS-Ankündigung zur allgemeinen Verfügbarkeit soll der KI-gestützte Dienst dabei helfen, aus zahlreichen Scanner-Funden die tatsächlich relevanten Sicherheitsprobleme herauszufiltern. Eine Schwachstelle kann zum Beispiel über das Netzwerk unerreichbar sein oder durch vorhandene Schutzmaßnahmen bereits entschärft werden. Ein allgemeiner Schweregrad allein bildet solche Unterschiede nicht ab.

Code und Infrastruktur bestimmen die Priorität

Continuum verknüpft Informationen aus Code-Repositories und der AWS-Umgebung in einem Kontextgraphen. Er bildet unter anderem Abhängigkeiten zwischen Diensten, Zuständigkeiten und Zugriffe auf Daten ab. Ein optional eingerichteter Collector erfasst dazu im AWS-Konto und in der Region der Anwendung Ressourceninformationen und die Netzwerkkonfiguration. Damit soll der Dienst beurteilen können, ob Angreifer eine Schwachstelle erreichen und welche weiteren Ressourcen ihnen von dort aus zugänglich wären.

Bei der Priorisierung berücksichtigt Continuum, wie nah ein möglicher Angriffspfad an geschäftskritische Systeme heranführt. Dazu zählt AWS beispielsweise Kundendatenbanken, Zahlungsprozesse und Authentifizierungsdienste. Eine Schwachstelle in einem isolierten Entwicklungswerkzeug kann dadurch weniger dringlich sein als ein niedriger eingestufter Fund in einem Dienst mit Zugang zu sensiblen Daten.

Statische Analyse und Exploits als Nachweis

Für seine Bewertung untersucht Continuum den betroffenen Code und dessen Umgebung. Zu jedem Ergebnis gibt der Dienst an, welche Art von Nachweis vorliegt, etwa eine statische Analyse des verwundbaren Codepfads. Kann Continuum eine Schwachstelle reproduzieren, führt es den Exploit in einer isolierten Sandbox aus und liefert Proof-of-Concept-Code samt Reproduktionsschritten mit. Nicht jeder bestätigte Fund beruht damit auf einem ausgeführten Exploit.

Statt nur einen Risikowert auszugeben, dokumentiert der Dienst den Angriffspfad, die zugrunde liegende Codeanalyse und die mögliche Reichweite eines Angriffs. Außerdem prüft er laut AWS, ob vorhandene Schutzmaßnahmen den bestätigten Angriff erkennen und stoppen würden. In der Konsole erscheinen validierte und priorisierte Sicherheitsprobleme getrennt von den unbearbeiteten Scanner-Funden.

Korrekturen brauchen menschliche Freigabe

Für bestätigte Probleme erzeugt Continuum Korrekturvorschläge: Code-Patches, Updates von Abhängigkeiten oder Konfigurationsänderungen. In einem angebundenen GitHub-Repository stellt der Dienst sie als Pull-Request bereit. Dessen Beschreibung enthält darüber hinaus die Risikobewertung und die Nachweise, sodass Reviewer diese direkt in GitHub prüfen können. Abschließend müssen menschliche Verantwortliche die Änderung prüfen und vornehmen.

Als Codequellen unterstützt Continuum GitHub und Amazon S3. Bei S3 muss der Bucket im selben AWS-Konto und derselben Region liegen, in der Continuum aktiviert ist; den Zugriff erhält der Dienst über eine IAM-Rolle. Scans lassen sich zeitgesteuert oder bei Bedarf starten. Eine selbstständige Anwendung bestimmter Korrekturen stellt AWS erst für die Zukunft in Aussicht. Dafür sollen Nutzer Grenzen festlegen können, etwa anhand der Testabdeckung, des Änderungsumfangs und der bisherigen Erfolgsquote.

Zum Start steht die Funktion für Code-Schwachstellen in den AWS-Regionen US East (N. Virginia) und US West (Oregon) bereit. Zu Continuum gehört inzwischen auch der Ende 2025 vorgestellte AWS Security Agent, der unter anderem Designdokumente und Pull-Requests auf Sicherheitsrisiken prüft und Penetrationstests auf Abruf bietet.