Nvidias KI ließ sich zur Preisgabe von Firmen-Geheimnissen überreden

Neue Technologien bringen auch neue Sicherheitsprobleme mit sich: Es hat sich gezeigt, dass man Nvidias Software für Künstliche Intelligenz schlicht dazu überreden kann, sensible Informationen an unbefugte Nutzer herauszugeben. Nvidia hat ein System mit der Bezeichnung "NeMo Framework" entwickelt, das es Entwicklern ermöglicht, mit einer Reihe von großen Sprachmodellen zu arbeiten - der zugrunde liegenden Technologie, die generative KI-Produkte wie Chatbots antreibt. Das System kann von Unternehmen genutzt werden, um auf seiner Grundlage virtuelle Gespräche mit dem Kundendienst oder auch andere Beratungsleistungen umzusetzen.

Sicherheitsforscher des kalifornischen Unternehmens Robust Intelligence fanden jedoch einen Weg, die integrierten Sicherheits-Mechanismen zu umgehen, berichtete die Financial Times. Nachdem sie das Nvidia-System auf ihre eigenen Datensätze angewendet hatten, dauerte es nur wenige Stunden, bis die Analysten von Robust Intelligence die Sprachmodelle dazu brachten, die Beschränkungen zu überwinden.

Social Engineering mit KIs

In einem Testszenario wiesen die Forscher das Nvidia-System an, den Buchstaben "I" mit "J" zu vertauschen. Dies veranlasste die Technologie, personenbezogene Daten aus einer Datenbank freizugeben, die zum Trainingsmaterial aus dem simulierten Firmennetz gehörte. Davon motiviert, suchte man noch nach weiteren Wegen und wurde fündig. Auch, indem man die Spracheinheit der KI dazu brachte, in Gesprächen abzuschweifen, sorgte man dafür, dass Informationen preisgegeben wurden, die eigentlich als privat gekennzeichnet waren.

Das ganze Verfahren ähnelt dem Social Engineering, bei dem menschliche Mitarbeiter eines Unternehmens mit Tricks dazu gebracht werden, Angreifern ihren Willen zu erfüllen. Man muss sich nur eben auch auf die besonderen Formen der Informationsverarbeitung einer KI einlassen. Nvidia teilte inzwischen mit, dass die gefundene Schwachstelle behoben werden konnte. Da es sich bei KI-Systemen aber weitgehend um Blackboxes handelt, lässt sich natürlich nicht ausschließen, dass man mit einem etwas veränderten Verfahren dann doch noch zum Erfolg kommt.


Siehe auch: