KI-Pentesting-Agenten: Funktionsweise, Open Source vs. Enterprise (2026)

Jeder Agent durchläuft dieselbe Schleife: planen, handeln, beobachten, merken. Das Modell liest das Ziel und seinen bisherigen Wissensstand, wählt eine Aktion wie einen Port-Scan, eine Anfrage oder einen Exploit, ein Tool führt sie aus, und die Ausgabe geht zurück an das Modell, das über den nächsten Schritt entscheidet. Die Schleife endet, wenn das Ziel erreicht ist, das Budget aufgebraucht ist oder ein Mensch sie stoppt.

Das Modell allein kann das nicht. Das Scaffold um das Modell liefert die Tools, eine Sandbox zu ihrer Ausführung, ein Gedächtnis für bereits Versuchtes, den Scope, in dem es bleiben muss, und das Format des Berichts. Die Forschung stellt immer wieder fest, dass das Scaffold ebenso wichtig ist wie das Modell: AutoPT verdoppelte die Aufgabenerfüllung auf demselben Modell nahezu, indem es dieses mit einem Zustandsautomaten einschränkte, und die ARTEMIS-Studie sah allgemeine Coding-Scaffolds im selben Netzwerk hinter die meisten menschlichen Tester zurückfallen, in dem ein eigens entwickeltes Scaffold Zweiter wurde.

Die wichtigsten Bauarten, denen Sie begegnen werden:

• Assistent. Der Agent schlägt den nächsten Schritt vor, und ein Mensch führt ihn aus. Das ursprüngliche Design von PentestGPT.
• Einzelner autonomer Agent. Ein Modell mit vielen Tools durchläuft die gesamte Schleife.
• Multi-Agent. Ein Controller verteilt die Arbeit an Spezialisten für Aufklärung, Exploitation oder Lateral Movement, jeder mit eigenen Tools und eigenem Kontext. PentAGI, Strix und VulnBot arbeiten so.
• Tool-Brücke. Ein MCP-Server stellt Sicherheitstools für ein beliebiges Modell bereit, wie es HexStrike AI tut. Die Intelligenz und die Sicherheitsregeln liegen dann dort, wo das Modell läuft.
• White-Box. Der Agent liest zuerst den Quellcode und greift dann die laufende Anwendung an, wie es Shannon tut.

Die bekanntesten Open-Source-Projekte im November 2026 stehen in der Tabelle unten. Einige Dinge, die die Sterne auf GitHub nicht zeigen:

• Lizenzen unterscheiden sich. MIT und Apache-2.0 erlauben kommerzielle Nutzung; AGPL-3.0 bringt Pflichten mit sich, wenn Sie das Tool als Dienst anbieten; der eigene Code von CAI ist auf nicht kommerzielle Forschung beschränkt, und das Projekt wurde im August 2026 zugunsten eines kommerziellen Nachfolgers archiviert.
• Open Core ist verbreitet. Strix und Shannon sind kostenlos nutzbar, mit kostenpflichtigen Cloud- oder Enterprise-Editionen darüber.
• Wo das Modell läuft, ist eine Einstellung, keine Selbstverständlichkeit. Der autonome Modus von PentestGPT steuert einen Cloud-Coding-Agenten; sein Legacy-Modus und PentAGI können lokale Modelle nutzen. Mit einem Cloud-Modell wird jedes Banner, jede Antwort und jede Zugangsinformation, die der Agent sieht, an eine Drittpartei gesendet.
• Die meisten sind für eine Art von Ziel gebaut. Strix und Shannon testen Webanwendungen; PentestGPT und PentAGI neigen zu Netzwerken und CTF-artigen Maschinen. Nur wenige decken Active Directory, Lateral Movement und interne Netzwerke durchgängig ab.

Unabhängige, blinde Evaluierungen sind noch selten. Was es gibt:

• Ein reales Unternehmensnetzwerk. In der von Stanford geleiteten ARTEMIS-Studie (ICLR 2026) testeten zehn Fachleute, sechs bestehende Agenten und das Framework der Autoren ein Universitätsnetzwerk mit rund 8.000 Hosts. ARTEMIS belegte den zweiten Platz, vor 9 der 10 Menschen, mit 9 validen Schwachstellen und 82 % validen Einreichungen; es erzeugte mehr False Positives als die Menschen und hatte Schwierigkeiten mit GUI-Aufgaben. Mehr dazu unter KI-Pentesting vs. menschliche Pentester.
• Autonom vs. unterstützt. Auf AutoPenBench (33 Aufgaben) löste ein vollständig autonomer Agent 21 % und derselbe Agent mit menschlicher Hilfe 64 %.
• CTF-Benchmarks. Cybench verwendet 40 professionelle CTF-Aufgaben. XBOWs 104 Web-Challenges wurden vielfach zitiert, bis XBOWs eigenes Repository sie ab Mitte 2026 für gesättigt erklärte, da die Schwachstellen in die Modelle hineintrainiert sind.

Zwei Einschränkungen gelten für fast jede Zahl, die Sie sehen werden. CTF-Aufgaben haben ein bekanntes Ziel, eine Flag, und sind daher nicht blind; und öffentliche Aufgaben gelangen in Trainingsdaten. Betrachten Sie den eigenen Benchmark-Wert eines Herstellers oder Projekts als Marketing, bis jemand anderes ihn in einem Netzwerk reproduziert, das der Agent noch nie gesehen hat.

• Durchsetzung des Scopes

  Ein improvisierender Agent findet Hosts, die Sie nicht aufgelistet haben. Die Plattform, nicht der Prompt, muss Ziele außerhalb des Scopes ablehnen, auch innerhalb der Skripte, die der Agent schreibt.

• Freigabeschritte und ein Not-Aus

  Legen Sie fest, welche Aktionen auf einen Menschen warten, und stellen Sie sicher, dass ein Knopf alle Agenten gleichzeitig stoppt und auch nach einem Neustart gestoppt bleibt. Siehe Human in the Loop.

• Wohin die Daten gehen

  Erbeutete Zugangsdaten und interne Hostnamen sind sensibel. Ein lokales Modell auf Hardware unter Ihrer Kontrolle hält sie im Haus; eine Cloud-API nicht.

• Nachweise und Audit-Trail

  Prüfer wollen wissen, was ausgeführt wurde, wann, von wem und was zurückkam — in einem Datensatz, den niemand nachträglich ändern kann.

• Berichte und Compliance-Mapping

  Rohe Agenten-Transkripte sind kein Bericht, den ein Vorstand oder eine Aufsichtsbehörde lesen wird.

• Wartung und Support

  Tools, Exploits und Modelle ändern sich jeden Monat. Jemand muss den Stack am Laufen halten und reagieren, wenn er ein System lahmlegt.

Open-Source-Agenten eignen sich hervorragend für Forschung, Schulung und Labore. Einen davon gegen die Produktion einzusetzen, ist die Entscheidung, all das oben Genannte selbst aufzubauen und zu verantworten. Der OWASP Autonomous Penetration Testing Standard führt diese Kontrollen als Anforderungen auf und ist eine gute Checkliste, egal welchen Weg Sie wählen.

• Angreifer nutzen dieselben Tools. Check Point berichtete im September 2025, dass kriminelle Foren wenige Stunden nach der Veröffentlichung von HexStrike AI dessen Einsatz gegen neue Citrix-NetScaler-Schwachstellen diskutierten und behaupteten, die Zeit bis zur Ausnutzung sei von Tagen auf Minuten gesunken. Das sind Behauptungen aus Foren, keine bestätigten Angriffe, aber das Zeitfenster zwischen Offenlegung und Ausnutzung schrumpft so oder so weiter.
• Das Ziel kann zurücksprechen. Ein Agent liest alles, was das Ziel zurückgibt, und eine Seite, ein Banner oder eine Datei kann Anweisungen enthalten, die sich an das Modell richten. Shannons eigene Dokumentation warnt aus diesem Grund davor, es auf nicht vertrauenswürdigen Codebasen auszuführen. Das ist Prompt Injection, gegen den Tester gewendet.
• Falsche Findings. Agenten melden mehr False Positives als erfahrene Menschen. Verlangen Sie Belege: was gesendet wurde, was zurückkam, was nach dem Zugriff erreicht wurde. Siehe Exploit-Validierung.
• Kollateralschäden. Ein Agent, der einen Exploit zehnmal wiederholt oder ein Brute-Force-Tool ohne Limits ausführt, kann Konten sperren oder Dienste zum Absturz bringen. Ratenbegrenzungen und Freigaben für störende Aktionen sind nicht optional.

Agenten machen Menschen nicht überflüssig. Ihre Stärke sind Breite und Wiederholung: jeder Host, jede Woche, jede neue CVE. Menschen sind weiterhin besser bei Geschäftslogik, Social Engineering und den Ermessensentscheidungen, die ein von der Aufsicht geleiteter Test wie DORA TLPT verlangt.

Für Einkäufer ist die sinnvolle Unterscheidung die nach der Bereitstellung: ein Open-Source-Agent, den Sie selbst betreiben und warten, ein Cloud-Dienst, der Agenten gegen Sie einsetzt, oder eine Plattform, die autonome Penetrationstests innerhalb Ihres eigenen Perimeters ausführt. Der Tool-Vergleich behandelt die kommerziellen Plattformen, und der Bewertungsleitfaden liefert einen Pilotplan, um jede davon zu testen.

Ist PentestGPT kostenlos? Ja, es steht unter der MIT-Lizenz. Sie bezahlen für das Modell, das es nutzt: Sein autonomer Modus steuert Claude Code oder Codex, daher brauchen Sie ein Konto bei diesen Anbietern; der Legacy-Assistentenmodus kann auch mit einem lokalen Modell laufen.

Kann ich einen KI-Pentesting-Agenten offline betreiben? Einige unterstützen lokale Modelle, darunter PentAGI und der Legacy-Modus von PentestGPT. Sie brauchen dann eine GPU, die groß genug für ein leistungsfähiges Modell ist, und die Genauigkeit hängt davon ab, welches Modell Sie betreiben können.

Ist der Einsatz von KI-Pentesting-Agenten legal? Der Einsatz ist legal auf Systemen, die Ihnen gehören oder für deren Test Sie eine schriftliche Erlaubnis haben — wie bei jedem Pentest-Tool. Ohne Autorisierung ist er in den meisten Ländern eine Straftat.

Welcher Open-Source-Agent ist der beste? Es gibt kein unabhängiges Ranking. Wählen Sie nach Ziel: Strix oder Shannon für Webanwendungen, PentAGI oder PentestGPT für Netzwerke und Labore. Prüfen Sie die Lizenz und ob das Projekt noch gepflegt wird.

Ersetzen KI-Agenten menschliche Pentester? Noch nicht. In einem realen Netzwerk übertraf der beste Forschungsagent die meisten Menschen bei validen Findings, aber mit mehr False Positives und Lücken bei GUI-Arbeit. Das übliche Modell: Agenten für Breite und Frequenz, Menschen für Tiefe und Urteilsvermögen.

Wie funktioniert der Agent von Zero Hunt? Zero Hunt ist ein autonomes KI-Red-Team für Netzwerke und Infrastruktur, das auf einer On-Premise-Appliance mit eigenen Modellen läuft, sodass keine Kundendaten sie verlassen. Ein Controller koordiniert zehn spezialisierte Agenten für Aufklärung, Schwachstellenanalyse, Exploitation, Web, Zugangsdaten, Post-Exploitation, Pivoting, ATT&CK-Abdeckung, Quellcodeanalyse und Reporting. Fünf Autonomiestufen bestimmen, welche Aktionen auf einen Operator warten, der Scope wird bei Tool-Aufrufen und in generierten Skripten validiert, der Not-Aus bleibt über Neustarts hinweg bestehen, und jeder Versuch ist ein Ed25519-signierter, per Hash verketteter Datensatz. Kampagnen laufen einmalig oder nach täglichem, wöchentlichem, monatlichem oder individuellem Zeitplan, im Black-Box- oder Gray-Box-Modus. Zero Hunt veröffentlicht noch keine Benchmark-Zahlen; die Evaluierungsmethodik ist in Vorbereitung.