Anbieter zum Thema

G DATA CyberDefense AG

KI kann auch beim Schützen kritischer Infrastrukturen helfen. Darüber hinaus spielt sie ihre Stärken bei klassischen Machine-Learning-Anwendungen wie Malware-Erkennung oder auch Intrusion-Detection und -Protection aus. In diesem Bereich hat sich in den letzten zehn Jahren aber nicht viel geändert.

Perspektiven der KI in der IT-Sicherheit

Was die zukünftigen Perspektiven betrifft, die sich aus dem Thema “KI und IT-Sicherheit” ergeben, so ist Dr. Riess der Ansicht, dass die Menschen erst jetzt – durch das Auftauchen von neuen Werkzeugen und von Demonstrationen auf Youtube und ähnlichen Seiten – erkennen, was sich mit KI alles anstellen lässt. So besteht beispielsweise die Option, einem Textgenerator wie ChatGPT die Anweisung zu geben, einen Prompt für Midjourney zu erstellen, der ganz genaue Parameter enthält und deswegen auch ein erstklassiges Bild erzeugt. Überträgt man dieses Beispiel auf andere Bereiche, so ergibt sich ein vollkommen neuer Modellierungsraum. Die Möglichkeiten, die sich daraus ergeben, liegen noch im Unklaren und Voraussagen gestalten sich deswegen schwierig. Man sollte aber bedenken, dass in diesem Bereich nicht nur Spezialisten tätig sind, sondern auch kreative Hobbyisten, die keine Forschung betreiben, die Werkzeuge aber innovativ verwenden. Deswegen ist vollkommen unklar, was dabei letztendlich herauskommt.

Momentan sind die jüngsten Modelle gut darin, große Eingaben zu verdichten und umzuschreiben beziehungsweise zu übersetzen, um so neue, effektivere Ausgaben zu erhalten. Wenn große KI-Modelle dann noch Daten aus mehreren Quellen zusammenführen, so ergeben sich neue Erkenntnisse.

Das PeT-HMR-Projekt

Konkret wurde es in unserem Gespräch mit Nils Loose vom Institut für IT Sicherheit der Universität Lübeck. An diesem Institut ist das PeT-HMR-Projekt beheimatet, das sich – zusammen mit Partnern aus der Industrie – das Ziel gesetzt hat, Penetrationstests durch die Verwendung von KI zu automatisieren. Am Ende der Entwicklung steht ein System, das kosteneffiziente und weit verbreitete Tests möglich macht. Diese sollen sich ständig verbessern und eigenständig neue Schwachstellen integrieren. Das System lernt im Betrieb ununterbrochen neue Angriffsmuster kennen und führt dann automatisierte Angriffe durch. Auf diese Weise könnten Schwachstellen präzise und effizient identifiziert werden, um sie mit einem minimalen Aufwand von Seiten der Experten vor potentiellen Angreifern zu entdecken.

Herr Loose vertritt die Ansicht, dass sich Penetrationstests gleichermaßen von Angreifern wie von IT-Abteilungen nutzen lassen. Dabei können sowohl generative Modelle wie ChatGPT und Sprachmodelle wie LLAMA, als auch spezielle Werkzeuge wie BurpGPT, das die Burp Suite um LLMs erweitert oder das ChatGTP-gepowerte Penetrationstestwerkzeug PentestGPT zum Einsatz kommen. Im Betrieb wird der Netzwerkverkehr, der vom Zielsystem zurückkommt, an das jeweilige Language-Modell übergeben und dieses gibt dann Tipps, die dabei helfen, einen Angriff aufzubauen oder die Verteidigung zu verbessern.

Bleiben wir bei der Verteidigung: In diesem Bereich kann die KI zunächst einmal bei der Klassifizierung von Malware oder auch von HTTP-Requests helfen. Dabei kommt eine Runtime-Erkennung zum Einsatz. Diese untersucht, ob es sich bei der gerade analysierten Aktion um einen Angriff handelt, oder nicht. Das System reagiert dann mit Alarmmeldungen auf potentielle Angriffe und neuartige Angriffsmuster. Zukünftig könnte es auch möglich sein, dass es direkt und schnell aktiv wird und beispielsweise die Firewall-Regeln anpasst.

Angreifer, die KIs, die zum Erkennen von Malware Verwendung finden, überlisten wollen, können das allerdings tun. Sie müssen dazu eine angepasste Malware verbreiten, bei der einige Bits geflippt sind. In diesem Fall kommt es zu einer falschen Klassifizierung. Die Bestimmung, welche Bits geflippt werden können und sollen ist dabei allerdings nicht trivial.

Ein anderer Weg, bei dem KI den Sicherheitsspezialisten helfen kann, ist die Code-Analyse. Dabei nimmt die KI Programm-Code unter die Lupe, um Schwachstellen ausfindig zu machen. In der Praxis zeigt sich, dass die Large-Language-Modelle das gut können.

„Ein anderes, derzeit aktuelles Beispiel ist GraphCodeBERT“, erklärt Herr Loose. „Hier gibt es keine Texte als Eingaben, wie bei generativen Netzen, sondern Graph-Strukturen. Geben die Anwender diese ein, so kann die KI darin ebenfalls Schwachstellen erkennen. Die Erkenntnisse der Analyse lassen sich dann automatisiert an Penetrationstester, die auch Netze sein können, weitergeben.“

Im Idealfall sind all diese Vorgehensweisen kombinierbar. Die Runtime-Detection erkennt Angriffe und generalisiert beziehungsweise abstrahiert sie. Die Informationen werden dann an automatische Penetrationstests weitergegeben und diese geben ihre Erkenntnisse zurück. So lernen die Detection Engine und der Penetrationstests immer weiter voneinander und interagieren in einem Zyklus. Kommt noch ein Honeypot hinzu, so kann dieser von den „Nutzern“ des Honypots Malicious Payloads bereitstellen, die das System mit neuen Angriffsmustern füttern und so dabei helfen, es noch besser zu machen.

Fazit

Die aktuellen Entwicklungen im Bereich der KI sorgen für viel Bewegung. Was letztendlich alles daraus entsteht, ist noch nicht absehbar. Es wird auf jeden Fall noch viel passieren, sowohl in positiver als auch in negativer Hinsicht.

Dieser Artikel erschien ursprünglich bei unserem Schwesterportal Security-Insider.

Cyberagentur schreibt Forschungsprojekt zur digitalen Forensik aus

Manipulationen intelligenter Systeme aufspüren

(ID:49709058)