Forschende kreieren Exploits per GPT-4

Forschenden der University of Illinois Urbana-Champaign (UIUC) ist es gelungen, mithilfe von GPT-4 real existierende Schwachstellen auszunutzen. Dafür gaben sie dem Sprachmodell von OpenAI Beschreibungen der Anfälligkeit in offiziellen CVE-Warnmeldungen, wie "ZDNet" berichtet. Die KI schaffte es durch Reverse Engineering, Exploits zu entwickeln. Die Erfolgsquote von GPT-4 lag den Ergebnissen zufolge bei rund 87 Prozent. Die Forschenden versuchten auch, mit anderen Large Language Models (LLMs) Exploits auf diese Weise zu kreieren, jedoch war GPT-4 im Rahmen der Studie das einzige erfolgreiche Sprachmodell. 

"In dieser Studie zeigen wir, dass LLM-Agenten in der Lage sind, reale One-Day-Schwachstellen selbstständig auszunutzen", schreiben die Forschenden in ihrem Bericht. "Unsere Ergebnisse zeigen sowohl die Möglichkeit einer neuen Bedrohung als auch, dass das Aufdecken einer Schwachstelle schwieriger ist als deren Ausnutzung. Nichtsdestotrotz unterstreichen unsere Ergebnisse die Notwendigkeit für die breitere Cybersicherheits-Community und LLM-Anbieter, sorgfältig darüber nachzudenken, wie LLM-Agenten in Verteidigungsmassnahmen integriert werden können und wie ihr weitreichender Einsatz aussehen könnte."

Marco Eggerling, CISO bei Check Point. (Source: Check Point)

Marco Eggerling, Global CISO bei Check Point, teilt auf "Netzpalaver.de" seine Einschätzung zur Studie und schreibt: "In 13 von 15 Fällen, wobei sogar CVEs zum Einsatz kamen, also wirklich kritische Schwachstellen, war die KI erfolgreich, eigenständig Reverse Engineering zu betreiben. Das ist zwar keine Fähigkeit, die ein sehr guter Hacker nicht auch besitzt, aber die Geschwindigkeit ist hier entscheidend." Zudem sind laut Eggerling beim Experiment auch Schwachstellen getestet worden, die erst nach dem Training von GPT-4 bekannt wurden. Demnach sei die KI im Rahmen der Studie erstmalig mit diesen Sicherheitslücken konfrontiert worden. "Wenn man den Gedanken weiterspinnt und davon ausgeht, dass Hacker versuchen werden, auch diese Fähigkeit für den Masseneinsatz zu missbrauchen, dann wartet hier die nächste Welle an KI-gestützten IT-Attacken auf die Welt." Es sei nun umso wichtiger, dass Unternehmen und Behörden eine konsolidierte IT-Sicherheitsinfrastruktur implementieren, während die Politik sich Gedanken über Regulierung machen müsse, um gegen den Missbrauch von KI-Technologien vorzugehen.

In einem gemeinsamen Webinar zeigten Netzmedien und Mimecast übrigens, ob Cyberkriminelle oder Securityverantwortliche die Nase im KI-Wettrennen vorne haben. Mehr dazu lesen Sie hier.