Categories: Cybersicherheit

Forscher entwickeln Exploits per GPT-4 aus Sicherheitswarnungen

Computerwissenschaftler der University of Illinois Urbana-Champaign (UIUC) haben mithilfe von OpenAIs GPT-4 Exploits für tatsächlich existierende Schwachstellen in Software entwickelt. Das große Sprachmodell (Large Language Model, LLM) fütterten sie lediglich mit der Beschreibung der Anfälligkeit in der offiziellen CVE-Warnmeldung.

Im Rahmen ihrer Versuche setzten die Forscher auch LLMs anderer Anbieter ein, darunter OpenHermes-2.5-Mistral-7B, OpenChat 3.5 und mehrere Versionen von LLaMA-2 Chat. Exploits lieferte aber lediglich GPT-4, und zwar mit einer Erfolgsquote von 87 Prozent.

„In dieser Studie zeigen wir, dass LLM-Agenten in der Lage sind, reale One-Day-Schwachstellen selbstständig auszunutzen. Derzeit ist nur GPT-4 mit der CVE-Beschreibung in der Lage, die Schwachstellen auszunutzen“, heißt es in dem Bericht der Forscher. „Unsere Ergebnisse zeigen sowohl die Möglichkeit einer neuen Bedrohung als auch, dass das Aufdecken einer Schwachstelle schwieriger ist als deren Ausnutzung. Nichtsdestotrotz unterstreichen unsere Ergebnisse die Notwendigkeit für die breitere Cybersicherheits-Community und LLM-Anbieter, sorgfältig darüber nachzudenken, wie LLM-Agenten in Verteidigungsmaßnahmen integriert werden können und wie ihr weitreichender Einsatz aussehen könnte.“

„In 13 von 15 Fällen, wobei sogar CVEs zum Einsatz kamen, also wirklich kritische Schwachstellen, war die KI erfolgreich, eigenständig Reverse Engineering zu betreiben. Das ist zwar keine Fähigkeit, die ein sehr guter Hacker nicht auch besitzt, aber die Geschwindigkeit ist hier entscheidend. Zudem ist es laut den Forschern ein technologischer Quantensprung im Vergleich zu den Vorgängermodellen, wie beispielsweise GPT-3.5“, kommentiert Marco Eggerling, Global CISO bei Check Point, die Studie.

Eggerling betonte zudem, dass bei dem Experiment auch Schwachstellen zum Einsatz kamen, die erst nach dem Training von GPT-4 bekannt geworden seien. Die KI sei also erstmalig mit ihnen konfrontiert worden. „Wenn man den Gedanken weiterspinnt und davon ausgeht, dass Hacker versuchen werden, auch diese Fähigkeit für den Masseneinsatz zu missbrauchen, dann wartet hier die nächste Welle an KI-gestützten IT-Attacken auf die Welt. Umso wichtiger ist es, erneut zu betonen, dass Unternehmen und Behörden, Krankenhäuser und Einrichtungen eine konsolidierte IT-Sicherheitsarchitektur implementieren sollten, während die Politik sich Gedanken darüber machen muss, mit welchen Regularien sie den Missbrauch von KI-Technologie bekämpfen kann.“

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Gefahren im Foxit PDF-Reader

Check Point warnt vor offener Schwachstelle, die derzeit von Hackern für Phishing ausgenutzt wird.

2 Tagen ago

Bitdefender entdeckt Sicherheitslücken in Überwachungskameras

Video-Babyphones sind ebenfalls betroffen. Cyberkriminelle nehmen vermehrt IoT-Hardware ins Visier.

2 Tagen ago

Top-Malware in Deutschland: CloudEye zurück an der Spitze

Der Downloader hat hierzulande im April einen Anteil von 18,58 Prozent. Im Bereich Ransomware ist…

2 Tagen ago

Podcast: „Die Zero Trust-Architektur ist gekommen, um zu bleiben“

Unternehmen greifen von überall aus auf die Cloud und Applikationen zu. Dementsprechend reicht das Burg-Prinzip…

3 Tagen ago

Google schließt weitere Zero-Day-Lücke in Chrome

Hacker nutzen eine jetzt gepatchte Schwachstelle im Google-Browser bereits aktiv aus. Die neue Chrome-Version stopft…

3 Tagen ago

Hacker greifen Zero-Day-Lücke in Windows mit Banking-Trojaner QakBot an

Microsoft bietet seit Anfang der Woche einen Patch für die Lücke. Kaspersky-Forscher gehen davon aus,…

3 Tagen ago