Panikmodus: KI-Bots können im Team Zero-Days finden und ausnutzen

Die neuesten Erkenntnisse von Sicherheitsforschern sind durchaus geeignet, Panik hervorzurufen: Teams aus mehreren Chatbots können bisher unbekannte Sicherheitslücken finden und für Angriffe auf Systeme ausnutzen.

Einen Schritt weiter

Bisher sorgte fehlerhafte Software für das Risiko, dass Kriminelle Zeit investierten, um Schwachstellen zu finden und gewinnbringend auszunutzen. Allerdings erforderte diese Suche ins Blaue hinein einiges an Zeit und Ressourcen, weshalb Zero-Day-Angriffe oft in einem begrenzten Rahmen blieben. Das allerdings könnte sich zukünftig ändern.

Vor einigen Monaten hatte ein Forscher-Team bereits gezeigt, dass KI-Chatbots zumindest in der Lage sind, Exploits für bereits bekannte Sicherheitslücken zu entwickeln. So konnten dann ungepatchte Systeme angegriffen werden. Anhand der CVE-Datenbank, in der Sicherheitslücken dokumentiert werden, war GPT-4 in der Lage, 87 Prozent der Schwachstellen mit kritischem Schweregrad eigenständig auszunutzen.


Nun hat die Gruppe ein weiteres Paper veröffentlicht, in dem sie zeigen, dass die KI nicht nur Informationen zu bekannten Lücken analysieren und daraus ihre Schlüsse ziehen kann. Sie ließen eine Gruppe autonomer KI-Agenten gemeinsam auf die Suche nach bisher unentdeckten Sicherheitslücken gehen - und das hatte Erfolg.

Hierarchische Bot-Teams

Anstatt einen einzigen KI-Agenten mit der Lösung vieler komplexer Aufgaben zu betrauen, verwendete man ein hierarchisches Team: Es gab einen "Planungsagenten", der den gesamten Prozess überwacht und steuert. Dieser kann selbst "Subagenten" ins Leben rufen, die spezifische Aufgaben übernehmen. Dies erwies sich als wesentlich effizienter, als nur einen Chatbot auf die Suche zu schicken.

Die beruhigende Seite an der Sache: Die von OpenAI öffentlich bereitgestellten GPT-4-Zugänge reichen nicht aus, um Zero-Day-Lücken zu finden und auszunutzen. Dafür wird ein deutlich umfassenderer und weniger eingeschränkter Zugriff auf das KI-Modell benötigt. Es dürfte aber letztlich nur eine Frage der Zeit sein, bis größere kriminelle Gruppen solch eine Software zur Verfügung haben.

Siehe auch: