Bekanntlich auch Large Language Models (LLM). GPT-4 von OpenAI, erbringen Sie Kompetenz in Bezug auf Textgenerierung, Code und Problemlösung. Ich persönlich kann darauf nicht mehr verzichten, vor allem wenn ich programmiere. Doch diese dramatischen Fortschritte in der KI könnten eine Schattenseite haben: die Fähigkeit, kritische Schwachstellen auszunutzen.

Das ist es, was es verrät eine Studie von Forschern der University of Illinois in Urbana-Champaign, der eine Reihe von 15 sehr realen 0-Day-Schwachstellen gesammelt hat, von denen einige in der CVE-Datenbank als kritisch eingestuft wurden, und das Ergebnis ist eindeutig. Mit der CVE-Beschreibung gelingt es GPT-4, funktionale Angriffe für 87 % dieser Schwachstellen zu entwickeln! Im Vergleich dazu scheitern GPT-3.5, Open-Source-Modelle (OpenHermes-2.5-Mistral-7B, Llama-2 Chat…) und sogar Schwachstellenscanner wie ZAP oder Metasploit mit einer Rate von 0 % kläglich.

Glücklicherweise sinkt die GPT-4-Leistung ohne die CVE-Beschreibung auf 7 % Erfolg. Es ist daher viel besser darin, bekannte Fehler auszunutzen, als sie selbst auszumerzen. Puh!

Aber es ist trotzdem erschreckend … Stellen Sie sich vor, was wir mit einem KI-Agenten machen könnten, der in der Lage wäre, im Internet herumzuwandern, um selbständig komplexe Angriffe auszuführen. Root-Zugriff auf Server, Remote-Ausführung von beliebigem Code, Exfiltration vertraulicher Daten … Alles wird möglich und für jedes motivierte Kinderskript erreichbar.

Und das Schlimmste ist, dass es bereits profitabel ist, da Forscher schätzen, dass der Einsatz eines LLM-Agenten zum Ausnutzen von Schwachstellen 2,8-mal weniger kosten würde als die Arbeit von Cyberkriminellen. Ganz zu schweigen von der Skalierbarkeit dieser Art von Angriff im Vergleich zu Menschen, denen Grenzen gesetzt sind.

Was können wir konkret dagegen tun? Na ja, nichts Neues, es ist wie immer, nämlich:

• Beheben Sie kritische Schwachstellen noch schneller und geben Sie „0day“-Schwachstellen Vorrang, die Systeme in der Produktion bedrohen
• Überwachen Sie kontinuierlich das Auftreten neuer Schwachstellen und Angriffssignaturen
• Implementieren Sie KI-basierte Vorfallerkennungs- und Reaktionsmechanismen, um Feuer mit Feuer zu bekämpfen
• Sensibilisierung der Benutzer für die Risiken und bewährten Praktiken der „Cyber-Hygiene“
• Überdenken Sie die Sicherheitsarchitektur, indem Sie einen „Zero Trust“-Ansatz verfolgen und so weit wie möglich segmentieren
• Investieren Sie in Forschung und Entwicklung im Bereich Cybersicherheit, um an der Spitze zu bleiben

LLM-Anbieter wie OpenAI spielen ebenfalls eine Rolle, indem sie strenge Schutzmaßnahmen und Kontrollmechanismen für ihre Modelle einrichten. Die gute Nachricht ist, dass die Autoren der Studie sie gewarnt und darum gebeten haben, die in der Studie verwendeten Eingabeaufforderungen nicht zu veröffentlichen, zumindest bis sie ihre KI „korrigiert“ haben.

chatgpt-can-craft-attacks-based-on-chip-vulnerabilities-gpt-4-model-tested-by-uiuc-computer-scientists” target=”_blank” rel=”noopener”>Quelle