TAISC ist für OpenAI Daybreak freigeschaltet

TAISC ist seit Ende Oktober für OpenAI Daybreak Blue freigeschaltet. Daybreak ist das Cyber-Programm von OpenAI für verifizierte Verteidiger. Es gibt uns Zugriff auf die Cyber-Fähigkeiten der OpenAI-Modelle, mit deutlich weniger Ablehnungen, wenn es um sicherheitskritische Analysen geht.

Das Timing hätte kaum besser sein können. In der Woche um den 21. Oktober kamen Notfall-Patches für zwei kritische PHP-Lücken, die mit KI gefunden wurden, ein Supply-Chain-Angriff auf das LLM-Gateway LiteLLM und ein Sicherheitsvorfall beim Hosting-Anbieter Railway. Was das für Unternehmen mit KI-Agenten, n8n-Workflows und KI-gebauten Apps heißt, haben wir in KI-Sicherheit im Unternehmen aufgeschrieben.

Warum uns das wichtig ist

• Jede Anwendung, die wir für Kunden bauen, durchläuft vor dem Go-live ein KI-gestütztes Security-Review. Ein Agent liest den Code im Zusammenhang, verfolgt Datenflüsse und Rechte und findet Logikfehler, die ein Muster-Scan übersieht.
• Mit Daybreak Blue gehen wir dabei tiefer, ohne ständig gegen Sicherheitsfilter zu laufen, etwa wenn wir prüfen, wie sich eine gefundene Lücke ausnutzen ließe.
• Angreifer nutzen dieselben Modelle. Auf der Verteidigerseite wollen wir mindestens genauso gut aufgestellt sein.

Was wir bei einem Security-Check prüfen

Ein Security-Check bei uns ist kein reiner Scanner-Lauf. Wir kombinieren automatisierte Werkzeuge mit einem KI-Review und prüfen jeden Fund von Hand nach:

• Rollen und Rechte: Wer darf welche Daten sehen und ändern? Bei Supabase-Apps heißt das vor allem: Row Level Security auf jeder Tabelle, getestet mit echten Nutzerrollen.
• Secrets: API-Schlüssel und Passwörter, die im Code oder in der Versionshistorie liegen, und ob sich Schlüssel im Ernstfall schnell tauschen lassen.
• Abhängigkeiten: bekannte Lücken und verdächtige Pakete in der Software-Lieferkette.
• Schnittstellen und Webhooks: Authentifizierung, Eingabeprüfung und was passiert, wenn jemand die Schnittstelle direkt aufruft.
• KI-Funktionen: Prompt Injection, Datenabfluss über Assistenten und zu weit gefasste Rechte für Agenten.
• Betrieb: Deployment, Backups, Monitoring und ein Notfallplan, wer im Ernstfall was tut.

Die Funde priorisieren wir nach Risiko und beheben sie auf Wunsch direkt. Zwei Beispiele: der Security-Check eines selbst gebauten Intranets und das Security-Audit einer Lovable-App, bei dem wir vor dem Go-live zwei kritische Lücken gefunden und geschlossen haben.

Security von der ersten Zeile an

Ein Modellzugang allein macht noch keine sichere Anwendung. Bei uns gehören Zwei-Faktor-Anmeldung überall, Hardware-Keys für kritische Konten und minimale Rechte für jede Schnittstelle und jeden Agenten zum Standard. Unsere Anwendungen hosten wir in der EU, wo möglich in Deutschland, und bauen Datenschutz von Anfang an ein, etwa beim Auftragsportal für WMK mit sauber getrennten Rollen oder bei Baukraft360, das die Prüfungen von Apple und Google bestanden hat.

Gerade bei Apps, die Unternehmen selbst mit Lovable, Cursor oder Claude Code bauen, lohnt sich ein zweiter Blick vor dem Go-live. Wie das abläuft, beschreiben wir in Vibe Coding in Produktion bringen. Die Formen der Zusammenarbeit finden Sie unter Services.