HyperArmor: Broadcoms Antwort auf KI-Angriffe auf VMware ESX

Broadcom präsentierte beim Frankfurter Ableger seiner Hausmesse VMware Explore on Tour einen neuen Schutz für ESX-Hypervisor, rekapitulierte einige bereits bekannte Neuerungen – und verzichtete auf den großen Knall: Ein im Vorfeld – auch aus VMware-Kreisen – kolportierter Nachfolger für vSphere 8, möglicherweise unter dem Namen „vSphere Express“, blieb aus. Auf Nachfrage betonten die VMware-Manager Paul Turner und Joe Baguley, es werde auf der Veranstaltung keine entsprechende Ankündigung geben, VMware wolle aber alle Kunden bedienen. Womöglich hat die Zurückhaltung mit dem Ende Oktober auslaufenden Geschäftsjahr zu tun.

Stattdessen stand wie bei der VMware Explore vom September in Las Vegas zunächst agentische KI im Mittelpunkt: Die VMware AI Factory bündelt einen KI-Stack auf Basis von VMware Cloud Foundation (VCF) ohne Aufpreis, AgentMinder soll Identitäten und Aktionen von KI-Agenten kontrollieren. vDefend und der Avi Load Balancer erhalten Schutzfunktionen rund um Agenten, etwa die Erkennung von MCP-Servern und Schatten-KI sowie Prompt-Inspektion. Die Tanzu Platform bekommt Bausteine für Agenten, TrueSource liefert gehärtete Open-Source-Artefakte und Datendienste wie PostgreSQL, Letztere separat lizenziert.

HyperArmor: Aktiver Schutz für ESX-Hypervisor

Wirklich neu ist VMware HyperArmor, ein aktiver Schutz für den ESX-Hypervisor ab Version 8. Broadcom begründet ihn mit KI-beschleunigten Angriffen, die Schwachstellen in Maschinengeschwindigkeit finden und ausnutzen. Kern ist ein „Virtual Patching“ auf Host-Ebene: Da auf einem ESX-Host nur ein kleiner, fester Satz an Prozessen läuft, lässt HyperArmor nur bekannte Binaries und Skripte zu und blockiert unautorisierte Ausführung und Schreibzugriffe. Ein Exploit kann so zwar eine Lücke treffen, aber keinen Schadcode nachladen oder ablegen. Einen Neustart des Hosts erfordert das Virtual Patching nicht. Admins sollen dadurch Zeit gewinnen, offizielle Patches in Ruhe zu testen. Neue Skripte müssen sie explizit freigeben, Agenten in den VMs braucht es nicht. Zudem fragt ESX beim SSH-Login einen TOTP-Code als zweiten Faktor ab.

Einiges ließ Broadcom offen: Wie die schwachstellenspezifischen Schutzregeln ausgeliefert werden und ob sie zeitgleich mit den Security Advisories erscheinen, wo genau im VMkernel die Durchsetzung greift und wie hoch der Performance-Overhead ist. Auch einen Preis gibt es noch nicht. HyperArmor soll im ersten Quartal des im November beginnenden Geschäftsjahres als kostenpflichtiges Add-on für ESX und VCF erscheinen. Ob MFA für den SSH-Zugang auf den Host ein kostenpflichtiges Zusatzfeature sein sollte, stellen auch Analysten infrage – zumal der Schutz des Hypervisor-Zugangs vom Hersteller selbst kommt.

Im Gespräch mit der iX vor Ort hob Ingmar Benthien, Sales Area Lead Central Europe bei Broadcom, die umfassenden Aktivitäten des Herstellers für IT-Sicherheit hervor und verwies auch auf die Beteiligung an Anthropics Projekt Glasswing. Demnach gehört Broadcom zu den wenigen Launch-Partnern der im April gestarteten Initiative von Anthropic. Darin nutzen Hersteller das nicht öffentlich verfügbare Modell Claude Mythos Preview, um Schwachstellen in kritischer Software zu finden und zu beheben.

Benthien sagt: „Wir haben unseren Code mehrere Monate lang von Mythos untersuchen lassen, rund um die Uhr und mit vollem Zugriff auf den Sourcecode. Wir wollen mögliche Lücken frühzeitig erkennen und schließen. Erste wichtige Erkenntnisse wurden sofort in monatliche Patches integriert, gesammelt stecken sie im Release VCF 9.1.1, das seit Anfang September verfügbar ist.“

Abgeschlossen sei das Thema damit nicht: „VCF 9.1.1 ist der Anfang. Die Analyse läuft weiter. Was wir daraus lernen, fließt in alle folgenden Releases ein. Alles, was wir an Schwachstellen finden, sollte künftig sofort per Live-Patching behoben werden. Auf die klassische Triage – erst Severity One, dann der Rest, wenn wir dazu kommen – kann man heutzutage in der aktuellen Situation nicht mehr warten. Die Maschine frisst die Triage. Deshalb muss die ganze Branche umdenken.“

Konkurrenz für HyperArmor

In der VMware-Community sorgte die Ankündigung von HyperArmor für kontroversen Gesprächsstoff, etwa unter den Organisatoren der VMware User Group (VMUG). Denn so neu ist die Idee nicht: Das US-Unternehmen Vali Cyber, in den vergangenen anderthalb Jahren einer der Hauptsponsoren der VMUG-Events, schützt ESX-Hosts mit seinem Produkt ZeroLock bereits seit 2024. Der Funktionsumfang ähnelt HyperArmor auffallend: Application Allowlisting, Virtual Patching und MFA auf der Kommandozeile. ZeroLock wird als von Broadcom signiertes VIB über vCenter und vLCM ausgerollt.

In mehreren Punkten geht Vali Cyber aber weiter. Die MFA greift nicht nur beim Login, sondern auf Wunsch bei jedem einzelnen Befehl, etwa wenn ein Angreifer mit gekaperter Sitzung Firewall-Regeln abschalten oder VMs stoppen will. Eine KI-gestützte Verhaltenserkennung soll nach Herstellerangaben auch Living-off-the-Land-Angriffe erkennen, die ohne fremde Binaries auskommen und an einer Allowlist vorbeigehen. Von Ransomware verschlüsselte Dateien rollt ZeroLock automatisch zurück. Zudem schützt das Produkt die vCenter-Appliance und unterstützt neben ESXi ab 6.7 weitere Hypervisoren wie Nutanix AHV, Proxmox und KVM.

Vali-CTO Austin Gadient gibt sich diplomatisch: „Wir begrüßen Broadcoms Investition in Hypervisor-Sicherheit mit HyperArmor. Vali schützt ESX seit 2024 im Produktivbetrieb, und in dieser Zeit haben Angriffe auf den Hypervisor nur zugenommen. Es ist gut zu sehen, dass die Plattformhersteller das Problem anerkennen und handeln. Aber es geht um mehr als VMware: Private AI entsteht auf jedem großen Hypervisor, und jeder davon braucht eine gestaffelte Verteidigung, die Angriffe stoppt und Teams hilft, sich schnell zu erholen, wenn doch etwas durchkommt.“