KI-Tools
Herausforderung IT-Sicherheit von generativen KI-Tools
Von Oliver Ott, Regional Sales Director DACH IAM bei Thales
In den falschen Händen könnten generative KI-Tools katastrophale Folgen nach sich ziehen. Während die meisten Menschen sie zum Spaß oder zur Erledigung von Routineaufgaben verwenden, könnten Cyberkriminelle die Technologie nutzen, um informierter, effizienter und auch überzeugender zu werden, vor allem bei Phishing-E-Mails.
Laut einer kürzlich von Thales durchgeführten Umfrage unter Kunden machen sich 75 Prozent der Befragten Sorgen über die Sicherheitsrisiken generativer KI-Tools. Es ist beruhigend zu wissen, dass sich drei Viertel der Befragten bereits des potenziellen Schadens bewusst sind, den diese Werkzeuge anrichten können. Dennoch gibt es immer noch einen beträchtlichen Anteil der Bevölkerung, der sich dieser Technologie nicht bewusst ist oder nicht wachsam gegenüber fortgeschrittenen Cyber-Bedrohungen ist.
Laut der gleichen Umfrage sind die größten Sicherheitsbedenken folgende:
- Risiko der Preisgabe von persönlichen oder sensiblen Informationen (42%)
- Bedrohung durch Desinformation oder die Verbreitung von Fake News (41%)
- Die Möglichkeit, bösartigen Code zu erstellen (38%)
- Überzeugendere Phishing-E-Mails (37%)
Bedenken hinsichtlich des Datenschutzes
Eine häufige Sorge ist, dass ein Large Language Model (LLM) aus den Eingaben „lernen“ und diese Informationen anderen anbieten könnte, die nach ähnlichen Dingen suchen. Es besteht auch das Risiko, dass die Technologie Daten abruft, die sie nicht abrufen sollte. Ein LLM fügt (zumindest zum jetzigen Zeitpunkt) seinem Modell nicht automatisch Informationen aus Abfragen hinzu, damit andere es abfragen können; die Abfrage ist jedoch für die Organisation, die das Tool bereitstellt, sichtbar. Diese Abfragen werden gespeichert, und die Anbieter verwenden sie, um den Dienst weiterzuentwickeln.
Eine Frage kann aufgrund der enthaltenen Daten sensibel sein. In einem kürzlich erschienen Bericht der Firma Cyberhaven wurde zum Beispiel darauf hingewiesen, dass Mitarbeiter sensible Geschäftsdaten und datenschutzrechtlich geschützte Informationen an LLMs übermitteln. In einem Fall hat ein leitender Angestellter das Strategiedokument des Unternehmens für das Jahr 2023 ausgeschnitten und in ChatGPT eingefügt und das Programm gebeten, eine PowerPoint-Präsentation zu erstellen.
Ein weiteres Risiko, das zunimmt, je mehr Technologieunternehmen LLMs produzieren, besteht darin, dass Online-Abfragen gehackt werden, durchsickern oder, was wahrscheinlicher ist, öffentlich zugänglich gemacht werden. Diese Fragen könnten potenziell benutzeridentifizierbare Informationen enthalten. Dies war der Fall, als eine ChatGPT-Panne es einigen Nutzern ermöglichte, die Titel der Gespräche anderer Nutzer zu sehen, wie die BBC berichtete .
Fehlinformationen und gefälschte Nachrichten
Im Zeitalter des Clickbait-Journalismus und des Aufstiegs der sozialen Medien kann es schwierig sein, den Unterschied zwischen gefälschten und echten Nachrichten zu erkennen. Das Erkennen von Fälschungen ist von entscheidender Bedeutung, denn einige verbreiten Propaganda, während andere zu bösartigen Seiten führen.
Es besteht die Befürchtung, dass LLMs Fehlinformationen verbreiten oder normalisieren könnten. Böswillige Akteure können zum Beispiel generative KI nutzen, um schnell gefälschte Nachrichten zu schreiben. Und da das Modell durch Online-Daten – einschließlich gefälschter Daten – trainiert wird, können gefälschte Nachrichten in die von der KI generierten Antworten eingefügt und als vertrauenswürdige Informationen verwendet werden. Dieses Problem wirft auch moralische Bedenken auf und die Grenzen solcher Werkzeuge werden von Bedrohungsakteuren ausgenutzt.
Phishing-E-Mails und Malware
Es hat einige besorgniserregende Demonstrationen gegeben, wie LLMs beim Schreiben von Malware helfen können. Die Befürchtung ist, dass ein LLM jemandem mit böswilligen Absichten, aber rudimentären Kenntnissen, helfen könnte, Tools zu erstellen, die er sonst nicht einsetzen könnte. Einige Untersuchungen zeigen, dass Malware-Autoren mit ChatGPT auch fortgeschrittene Software entwickeln können, wie einen polymorphen Virus, der seinen Code verändert, um der Erkennung zu entgehen.
Da LLMs sich durch die Nachahmung von Schreibstilen auszeichnen, besteht die Gefahr, dass Cyberkriminelle sie nutzen, um überzeugende Phishing-E-Mails zu verfassen, einschließlich E-Mails in mehreren Sprachen. Diese Fähigkeiten können Angreifern mit hohen technischen Fähigkeiten, denen es an Sprachkenntnissen mangelt, dabei helfen, überzeugende Phishing-E-Mails zu erstellen (oder Social-Engineering durchzuführen), und zwar in der Muttersprache ihrer Ziele.
Fazit
Grundsätzlich dürfen wir uns nicht von der Begeisterung darüber blenden lassen, was generative KI leisten kann. Unternehmen müssen vielmehr stets auf der Hut sein vor potenziellen neuen Bedrohungen. Sie können damit beginnen, den Datenzugriff dieser KI-basierten Tools zu beschränken. Diese Tools sind nur so gut informiert wie die Qualität der Daten, mit denen sie gefüttert werden. Daher sollten sensible oder persönliche Daten verschlüsselt werden, um sicherzustellen, dass sie geschützt bleiben. Gleichzeitig sind die Unternehmen dafür verantwortlich, das Bewusstsein für neue Betrugsrisiken zu schärfen, z.B. für Cyberkriminelle, die Marken nahezu perfekt imitieren, um Kunden dazu zu bringen, persönliche Daten preiszugeben. Die Technologie ist nicht unfehlbar und birgt die Gefahr menschlichen Versagens in sich. Für Unternehmen kann das sehr leicht einen Datenschutz-Albtraum bedeuten. Unternehmen, die LLMs einführen, müssen auf den Schutz sensibler Daten achten und sicherstellen, dass von Anfang an robuste Protokolle für das Access Management eingehalten werden.
