Das öffentliche Internet entwickelt sich weiter, während der Einsatz von KI zunimmt und sich die globalen Muster der ICS-Exponierung verändern.
Frühe Ergebnisse aus dem Censys State of the Internet Report 2026 zeigen, dass die Zahl der aus dem Internet erreichbaren KI-/LLM-Tools in den vergangenen neun Monaten um mehr als 60 % gestiegen ist und dadurch die Angriffsflächen von Unternehmen größer werden.
Der jährlich erscheinende Bericht nutzt Daten der Censys Internet Map und des Censys Attack Research Center (ARC), um die Entwicklung der Internetinfrastruktur und der Sicherheitstrends zu analysieren.
Zentrale Erkenntnisse aus den ersten Ergebnissen von Censys
- Die Zahl der aus dem Internet erreichbaren KI-/LLM-Tools stieg in den vergangenen neun Monaten um mehr als 60 % und erreichte über 294.000 öffentliche IP-Adressen.
- Schnell wachsende KI-Plattformen wie Langflow und LiteLLM weisen ebenfalls hochriskante Schwachstellen auf, darunter mehrere von CISA in den KEV-Katalog aufgenommene Fehler.
- Die Zahl der aus dem Internet erreichbaren ICS-Hosts stieg weltweit auf etwa 138.000, während der Anteil Asiens an den Exponierungen weiter zunahm.
- Etwa 70 % der aus dem Internet erreichbaren ICS-Hosts befinden sich trotz veränderter globaler Einsatzmuster weiterhin in Verbraucher- und Mobilfunknetzen.
- Der bevorstehende Censys-Bericht wird Trends der Internetinfrastruktur, die Behebung von Schwachstellen, das Wachstum der KI-Exponierung und die globale ICS-Sicherheit untersuchen.
Die aus dem Internet erreichbare KI-Infrastruktur wächst weiter
Forscher identifizierten über 294.000 verschiedene öffentliche IP-Adressen, über die eines von 43 KI- und LLM-Tools erreichbar war – gegenüber etwa 183.000 im Oktober 2025.
Die Untersuchung ergab außerdem, dass einige der am schnellsten wachsenden KI-Plattformen zu den risikoreichsten Bereitstellungen gehören.
Langflow, ein Open-Source-Framework zum Erstellen von KI-Workflows, wuchs im Berichtszeitraum um 169 %.
Zwischen 2024 und 2026 sammelte die Plattform 18 CVEs an, darunter 14 Schwachstellen mit CVSS-Werten über 8,0 sowie vier Einträge im KEV-Katalog von CISA.
Mehrere nicht authentifizierte Schwachstellen zur Remotecodeausführung (RCE) erhöhen das Risiko einer Kompromittierung von aus dem Internet erreichbaren Langflow-Instanzen.
LiteLLM wurde ebenfalls schnell eingesetzt und verzeichnete im selben Zeitraum einen Zuwachs von 97 %.
Censys wies darauf hin, dass die Plattform von einer aktiv ausgenutzten SQL-Injection-Schwachstelle vor der Authentifizierung betroffen ist, CVE-2026-42208, die in den KEV-Katalog von CISA aufgenommen wurde.
Da LiteLLM als einheitlicher LLM-Proxy fungiert, könnte eine erfolgreiche Kompromittierung die API-Schlüssel mehrerer vorgeschalteter Anbieter von KI-Modellen offenlegen.
Die globalen Muster der ICS-Exponierung verändern sich weiter
Neben der zunehmenden KI-Nutzung stellte Censys anhaltende Veränderungen bei der geografischen Verteilung der aus dem Internet erreichbaren industriellen Steuerungssysteme (ICS).
Die Forscher beobachteten Anfang 2026 durchschnittlich etwa 138.000 aus dem Internet erreichbare Hosts mit ICS-Diensten – gegenüber rund 129.000 Hosts im Jahr 2024.
Nordamerika stellt weiterhin den größten Anteil der weltweit aus dem Internet erreichbaren ICS-Infrastruktur und macht etwa 38 % der beobachteten Systeme aus.
Der Anteil Asiens ist jedoch von 22,9 % der globalen Exponierungen im Jahr 2024 auf 27 % im Jahr 2026 gestiegen.
Europa macht unterdessen einen geringeren Anteil an der globalen Gesamtzahl aus als in den Vorjahren und sank von 36,1 % im Jahr 2024 auf 31,1 % im Jahr 2026.
Obwohl sich die geografische Verteilung verändert hat, stellte Censys fest, dass die zugrunde liegenden Netzwerkumgebungen, in denen diese Systeme betrieben werden, weitgehend konstant geblieben sind.
In den vergangenen zweieinhalb Jahren waren etwa 70 % der aus dem Internet erreichbaren ICS-Hosts durchgehend in Verbraucher- und Mobilfunknetzen statt in Unternehmensumgebungen zu finden.
Der vollständige Bericht untersucht umfassendere Trends der Internetsicherheit
Die vorläufigen Ergebnisse stellen nur einen Teil der Forschung dar, die im bevorstehenden Bericht enthalten sein wird.
Censys zufolge wird der vollständige 2026 State of the Internet Report langfristige Trends der Internetinfrastruktur untersuchen, darunter Hosts, Dienste, Ports, Protokolle, Zertifizierungsstellen und veraltete Software.
Die Forscher werden außerdem untersuchen, wie schnell Unternehmen aus dem Internet erreichbare Systeme nach dem Auftreten neuer CVEs und der Aufnahme neuer Einträge in den CISA-KEV-Katalog patchen.
Der Bericht wird zudem eine eingehendere Analyse aus dem Internet erreichbarer ICS-Umgebungen und der raschen Ausweitung der KI-Infrastruktur liefern, darunter Technologien wie MCP-Server, Ollama, Langflow, LiteLLM und Frameworks für die KI-Automatisierung.
Zusammen sollen die Ergebnisse Unternehmen einen datengestützten Überblick darüber geben, wie sich internetseitig erreichbare Technologien und Angriffsflächen weiterentwickeln, während die KI-Nutzung beschleunigt zunimmt.