LLMs wie chatgpt könnten den neuesten Erkenntnissen von Forschern zufolge das nächste Problem der Cybersicherheit sein. Früher wurde davon ausgegangen, dass LLMs nur einfachere Cybersicherheitslücken ausnutzen können, doch LLMs haben überraschend hohe Kompetenzen auch bei der Ausnutzung komplexer Schwachstellen bewiesen.
Forscher der University of Illinois Urbana-Champaign (UIUC) fanden heraus, dass GPT-4 eine erschreckend hohe Kompetenz bei der Ausnutzung von „eintägigen“ Schwachstellen in realen Systemen aufweist. In einem Datensatz mit 15 solchen Schwachstellen konnte GPT-4 alarmierende 87 % davon ausnutzen.
Dies ist ein auffälliger Kontrast zu anderen Sprachmodellen wie GPT-3.5, OpenHermes-2.5-Mistral-7B und Llama-2 Chat (70B) sowie Schwachstellenscannern wie ZAP und Metasploit, die alle eine Erfolgsquote von 0 % verzeichneten .
Eine ernsthafte Bedrohung
Der Vorbehalt besteht jedoch darin, dass GPT-4 für eine derart hohe Leistung die Schwachstellenbeschreibung aus der CVE-Datenbank benötigt. Ohne die CVE-Beschreibung sinkt die Erfolgsquote von GPT-4 drastisch auf nur 7 %.
Dennoch wirft diese neueste Enthüllung alarmierende Fragen über den unkontrollierten Einsatz solch hochleistungsfähiger LLM-Agenten und die Bedrohung auf, die sie für nicht gepatchte Systeme darstellen. Während frühere Studien ihre Fähigkeit zeigten, als Softwareentwickler zu fungieren und wissenschaftliche Entdeckungen zu unterstützen, war nicht viel über ihre potenziellen Fähigkeiten oder Auswirkungen auf die Cybersicherheit bekannt.
Während die Fähigkeit von LLM-Agenten, „Spielzeug-Websites“ autonom zu hacken, anerkannt wurde, konzentrierte sich bisher die gesamte Forschung auf diesem Gebiet auf Spielzeugprobleme oder „Capture-the-Flag“-Übungen, also im Wesentlichen auf Szenarien, die nicht in realen Einsätzen vorkommen.
Sie können den von den UIUC-Forschern veröffentlichten Artikel an der Cornell University lesen Preprint-Server arXiv.
