KI Findet Schwachstellen in Software, die seit Jahrzehnten unentdeckt blieben. Ein neues KI-Modell namens Mythos, entwickelt von Anthropic, einem Konkurrenten von OpenAI, hat eine 27 Jahre alte Sicherheitslücke im Betriebssystem OpenBSD aufgedeckt. Das wirft ein neues Licht auf die Möglichkeiten und Gefahren von KI im Bereich der Cybersicherheit.
Das Wichtigste in Kürze
- KI-Modell Mythos von Anthropic entdeckt schwerwiegende Schwachstellen in weit verbreiteter Software.
- Eine 27 Jahre alte Sicherheitslücke in OpenBSD wurde identifiziert.
- «Project Glasswing» soll Unternehmen Zugang zu Mythos verschaffen, um eigene Software zu überprüfen.
- Anthropic plant keine öffentliche Zugänglichkeit von Mythos.
- KI-gestützte Schwachstellensuche könnte bald auch von Angreifern genutzt werden.
| PRODUKT: | Mythos, Anthropic, Preis: Nicht öffentlich, Verfügbarkeit: Nur über «Project Glasswing», Plattform: Cloud-basiert, Besonderheiten: KI-gestützte Schwachstellensuche |
|---|---|
| SICHERHEIT: | Betroffene Systeme: Verschiedene Betriebssysteme und Webbrowser, Schweregrad: Hoch, Patch verfügbar?: Abhängig vom System, Handlungsempfehlung: Software aktuell halten, Sicherheitsupdates installieren |
| APP: | Nicht zutreffend, da Mythos kein Endnutzerprodukt ist. |
Wie KI findet Schwachstellen, die Menschen übersehen haben
Das von Anthropic entwickelte KI-Modell Mythos ist darauf trainiert, tief in den Code von Software einzudringen und nach Fehlern zu suchen, die herkömmliche Sicherheitsüberprüfungen übersehen haben. Wie Stern berichtet, hat Mythos bereits «tausende» schwerwiegende Schwachstellen entdeckt, darunter in weit verbreiteten Betriebssystemen wie Windows, macOS und Linux sowie in gängigen Webbrowsern wie Chrome, Firefox und Safari. Die Entdeckung einer 27 Jahre alten Schwachstelle in OpenBSD, einem Betriebssystem, das für seine hohen Sicherheitsstandards bekannt ist, unterstreicht das Potenzial von KI, selbst in den sichersten Systemen Fehler zu finden. OpenBSD ist ein Unix-ähnliches Betriebssystem, das für seinen Fokus auf Sicherheit und Korrektheit bekannt ist.
Die Funktionsweise von Mythos basiert auf komplexen Algorithmen des maschinellen Lernens. Das KI-Modell wird mit riesigen Mengen an Code und Informationen über bekannte Sicherheitslücken trainiert. Dadurch lernt es, Muster und Anomalien im Code zu erkennen, die auf potenzielle Schwachstellen hindeuten. Im Gegensatz zu herkömmlichen Sicherheitsüberprüfungen, die oft auf bekannten Angriffsmustern basieren, kann Mythos auch neuartige und unbekannte Schwachstellen aufspüren.
Ein wichtiger Aspekt ist die Fähigkeit von Mythos, den Code semantisch zu verstehen. Das bedeutet, dass die KI nicht nur nach syntaktischen Fehlern sucht, sondern auch die Bedeutung des Codes analysiert und potenzielle logische Fehler erkennt. Dies ermöglicht es Mythos, Schwachstellen zu finden, die für menschliche Prüfer schwer zu erkennen sind, da sie oft in komplexen Interaktionen zwischen verschiedenen Codeabschnitten verborgen liegen.
So funktioniert es in der Praxis
Stellen Sie sich vor, ein Softwareunternehmen möchte die Sicherheit seiner neuesten Anwendung überprüfen. Anstatt sich ausschließlich auf manuelle Code-Reviews und herkömmliche Sicherheitstests zu verlassen, kann das Unternehmen Mythos verwenden, um den Code automatisch zu analysieren. Mythos durchforstet den Code und identifiziert potenzielle Schwachstellen, indem es nach Mustern sucht, die auf bekannte Fehler hindeuten oder von bewährten Sicherheitspraktiken abweichen. Die KI kann beispielsweise eine unsachgemäße Behandlung von Benutzereingaben erkennen, die zu einer SQL-Injection-Attacke führen könnte, oder eine fehlerhafte Speicherverwaltung, die einen Pufferüberlauf ermöglicht. Die Ergebnisse werden dann an Sicherheitsexperten weitergeleitet, die die von Mythos identifizierten Schwachstellen überprüfen und beheben können. Dieser Prozess beschleunigt die Sicherheitsprüfung erheblich und ermöglicht es Unternehmen, ihre Software schneller und sicherer zu machen. (Lesen Sie auch: Künstliche Intelligenz: KI findet seit Jahren schlummernde…)
SQL-Injection ist eine Angriffstechnik, bei der bösartiger SQL-Code in eine Datenbankabfrage eingeschleust wird, um Daten zu manipulieren oder unbefugten Zugriff zu erhalten. Ein Pufferüberlauf tritt auf, wenn ein Programm mehr Daten in einen Puffer schreibt, als dieser aufnehmen kann, was zu Datenverlust oder sogar zum Absturz des Systems führen kann.
«Project Glasswing»: Kooperation für mehr Sicherheit
Anthropic plant nicht, Mythos öffentlich zugänglich zu machen. Stattdessen hat das Unternehmen eine Kooperation namens «Project Glasswing» ins Leben gerufen, um ausgewählten Unternehmen Zugang zu der KI-gestützten Schwachstellensuche zu ermöglichen. Zu den Partnern gehören die Linux-Stiftung, die IT-Sicherheitsfirmen Crowdstrike und Palo Alto Networks sowie der Netzwerkspezialist Cisco. Diese Unternehmen sollen Mythos nutzen können, um die Sicherheit ihrer eigenen Software und Systeme zu verbessern.
Die Entscheidung, Mythos nicht öffentlich zugänglich zu machen, ist wahrscheinlich auf Sicherheitsbedenken zurückzuführen. Wenn die Technologie in die falschen Hände gerät, könnte sie von Angreifern missbraucht werden, um Schwachstellen in Software zu finden und auszunutzen. Durch die Beschränkung des Zugangs auf vertrauenswürdige Partner will Anthropic sicherstellen, dass die Technologie verantwortungsvoll eingesetzt wird.
Welche Risiken birgt der Einsatz von KI in der Cybersicherheit?
Obwohl der Einsatz von KI zur Verbesserung der Cybersicherheit viele Vorteile bietet, birgt er auch Risiken. Eine der größten Gefahren ist, dass KI-gestützte Schwachstellensuchwerkzeuge auch von Angreifern genutzt werden könnten. Wenn Angreifer Zugang zu solchen Werkzeugen hätten, könnten sie schnell und effizient Schwachstellen in weit verbreiteter Software finden und diese für ihre Zwecke ausnutzen. Dies könnte zu einer Eskalation von Cyberangriffen führen.
Ein weiteres Risiko besteht darin, dass KI-Modelle selbst anfällig für Angriffe sein könnten. Angreifer könnten versuchen, die KI zu täuschen oder zu manipulieren, um falsche Ergebnisse zu erzielen oder Schwachstellen zu übersehen. Es ist daher wichtig, dass KI-gestützte Sicherheitssysteme robust und widerstandsfähig gegen Angriffe sind. (Lesen Sie auch: DSDS-Quotenrutsch: Jury-Mitglied Bushido erlebt Tiefstand)
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschäftigt sich intensiv mit den Chancen und Risiken von KI in der Cybersicherheit und entwickelt Empfehlungen für einen sicheren Einsatz der Technologie.
Vorteile und Nachteile
Der Einsatz von KI zur Schwachstellensuche bietet eine Reihe von Vorteilen. KI-Modelle können große Mengen an Code schnell und effizient analysieren und dabei Schwachstellen aufspüren, die menschlichen Prüfern möglicherweise entgehen. Sie können auch neuartige und unbekannte Schwachstellen erkennen, die auf herkömmliche Weise schwer zu finden sind. Dies kann Unternehmen helfen, ihre Software sicherer zu machen und das Risiko von Cyberangriffen zu verringern.
Allerdings gibt es auch Nachteile. KI-Modelle sind auf große Mengen an Trainingsdaten angewiesen, um effektiv zu funktionieren. Wenn die Trainingsdaten unvollständig oder fehlerhaft sind, kann dies zu falschen Ergebnissen führen. Zudem sind KI-Modelle oft «Black Boxes», deren Entscheidungen schwer nachvollziehbar sind. Dies kann es schwierig machen, die von der KI gefundenen Schwachstellen zu überprüfen und zu beheben. Darüber hinaus sind KI-Systeme selbst anfällig für Angriffe, wie bereits erwähnt.
Ein weiterer wichtiger Aspekt ist der Datenschutz. Beim Einsatz von KI zur Schwachstellensuche werden große Mengen an Code analysiert, die möglicherweise sensible Informationen enthalten. Es ist daher wichtig, dass der Einsatz von KI-gestützten Sicherheitssystemen im Einklang mit den Datenschutzbestimmungen, insbesondere der Datenschutz-Grundverordnung (DSGVO), erfolgt.
Anthropic ist vor allem für seine KI-Software Claude bekannt, die mit ChatGPT von OpenAI konkurriert. Zuletzt geriet das Unternehmen in die Schlagzeilen, weil es den Einsatz seiner KI in autonomen Waffen oder zur Massenüberwachung ablehnte.
KI-gestützte Schwachstellensuche im Vergleich
Neben Mythos gibt es auch andere KI-gestützte Werkzeuge zur Schwachstellensuche. Ein Beispiel ist «CodeQL» von GitHub, eine semantische Codeanalyse-Engine, die es Sicherheitsexperten ermöglicht, komplexe Abfragen zu schreiben, um Schwachstellen in Code zu finden. Ein weiteres Beispiel ist «Infer» von Facebook, ein statisches Analysewerkzeug, das zur Erkennung von Fehlern in Java-, C-, C++- und Objective-C-Code verwendet wird. Im Gegensatz zu Mythos sind diese Werkzeuge jedoch oft öffentlich zugänglich und können von jedem genutzt werden. (Lesen Sie auch: Flughafen Kerosin: für Flüge wird knapp: Brindisi…)
Ein wesentlicher Unterschied zwischen Mythos und anderen KI-gestützten Schwachstellensuchwerkzeugen ist der Ansatz zur Datenbeschaffung. Während viele Tools auf öffentlich verfügbaren Code-Repositories und Schwachstellendatenbanken basieren, hat Anthropic möglicherweise einen proprietären Datensatz verwendet, um Mythos zu trainieren. Dies könnte Mythos einen Vorteil bei der Erkennung von Schwachstellen verschaffen, die in öffentlich zugänglichen Daten noch nicht bekannt sind.
Die Wahl des richtigen Werkzeugs hängt von den spezifischen Anforderungen des jeweiligen Unternehmens ab. Unternehmen mit begrenzten Ressourcen können von öffentlich zugänglichen Werkzeugen wie CodeQL oder Infer profitieren, während Unternehmen mit höheren Sicherheitsanforderungen möglicherweise bereit sind, für den Zugang zu fortschrittlicheren Werkzeugen wie Mythos zu zahlen.
Fazit
Die Entwicklung von KI-gestützten Werkzeugen zur Schwachstellensuche stellt einen wichtigen Fortschritt im Bereich der Cybersicherheit dar. KI hat das Potenzial, die Art und Weise, wie Software auf Sicherheitslücken überprüft wird, grundlegend zu verändern und Unternehmen dabei zu helfen, ihre Systeme sicherer zu machen. Es ist jedoch wichtig, die Risiken im Zusammenhang mit dem Einsatz von KI in der Cybersicherheit zu berücksichtigen und sicherzustellen, dass die Technologie verantwortungsvoll eingesetzt wird. Die Frage ist, wie die Weiterentwicklung der künstlichen Intelligenz die Landschaft der Cybersicherheit verändern wird und ob die Verteidiger oder die Angreifer die Nase vorn haben werden.
Ursprünglich berichtet von: Stern
📚 Das könnte Sie auch interessieren
