Kann ChatGPT die Cybersicherheit revolutionieren?

efks – stock.adobe.com

Zusammen mit maschinellem Lernen (ML) stellt künstliche Intelligenz (KI) sowohl die Antwort auf viele Herausforderungen der Cybersicherheit als auch die dystopische Zukunft dar, die alle guten apokalyptischen Science-Fiction-Filme und -Bücher darstellen.

Abgesehen von der Einbeziehung von KI in die Präsentationen vieler Anbieter als Möglichkeit zur Positionierung der Technologie der nächsten Generation und eines fortschrittlicheren, automatisierten Technologieansatzes wird sie als Konzept immer mehr zum Mainstream. Ende 2022 gelangte es mit der Einführung von ChatGPT, einem Teil der OpenAI-Plattform, der einen Konversationsdialog zur Beantwortung von Fragen, zur Teilnahme am Dialog und zur Bereitstellung detaillierter Antworten ermöglicht, auf ganz neue Weise ins öffentliche Bewusstsein.

Diese Weiterentwicklung einer verherrlichten Google-Anfrage hat die Fantasie beflügelt und das Bewusstsein von Schülern geweckt, die schnelle Antworten auf Aufsätze wünschen, ohne die frustrierende Notwendigkeit, Quellmaterialien tatsächlich im Vordergrund zu lesen, gefolgt von Lehrern, die die Benotung auf ähnliche Weise automatisieren möchten.

Jeder, der schon einmal unter den Händen eines Website-Chatbots gelitten hat, als er versuchte, Hilfe oder eine Antwort auf eine einigermaßen komplexe Frage zu erhalten, hoffte auch auf die Chance auf ein positiveres Ergebnis, wenn er mit einem Computer sprach. Zweifellos eröffnet es der KI eine Welt voller Potenziale, um die Art und Weise zu beeinflussen, wie wir als Individuen täglich mit Technologie umgehen, und nicht nur eine mysteriöse Blackbox, die Systeme von Wettervorhersagen bis hin zu Weltraumraketen antreibt.

Zwangsläufig werden auch die möglichen Auswirkungen auf die Cybersicherheit schnell zum zentralen Gesprächsthema – und zwar auf beiden Seiten. Für Angreifer bestand sofort die Chance, einfache, oft kindliche Phishing-Texte in professionellere Strukturen umzuwandeln und gleichzeitig die Interaktion mit mehreren potenziellen Opfern zu automatisieren, die versuchen, einen Weg aus der Ransomware-Falle zu finden, in die sie getappt sind.

Könnte dies für Verteidiger auch die Chance bieten, Prozesse wie die Codeüberprüfung oder die Verbesserung der Phishing-Aufklärung zu revolutionieren? Es befindet sich noch in einem sehr frühen Stadium und weist sicherlich eine Reihe von Mängeln auf (nicht zuletzt die Art und Weise, wie man das System manipuliert, um trotz der eingebauten Schutzmaßnahmen böswillige Reaktionen hervorzurufen), aber es hat die Debatte darüber, wie KI die Cybersicherheitsbranche verändern kann, erweitert .

Als neues Tool macht es Spaß, mit ChatGPT herumzuspielen – und wie Dave Barnett, Leiter Secure Access Service Edge (SASE) und E-Mail-Sicherheit für Europa, den Nahen Osten und Afrika (EMEA) bei Cloudflare, sagt: „Es ist erschreckend gut.“ System – jeder, der ChatGPL gebeten hat, ein obskures technisches Konzept in Form eines Gedichts zu erklären, wird erkennen, wie mächtig es ist.

Barnett weist jedoch auf die ernsthaften Bedenken hin, die aufgetaucht sind. „Ich denke, die Informationssicherheitsbehörde muss sich etwas Zeit nehmen, um über die Auswirkungen nachzudenken – erstens, dass es früher ziemlich leicht zu verstehen war, als wir uns von 419-Betrügereien, Zahlungs-SMS mit Zustellung oder der Kompromittierung geschäftlicher E-Mails täuschen ließen.“ Für den Menschen wirkten sie alle falsch“, sagt er.

„Könnte künstliche Intelligenz uns täuschen? Wir müssen auch sehr vorsichtig mit den Datenschutzrisiken sein – etwa, wohin die Daten gehen und wer der Verantwortliche und Verarbeiter ist. Menschen sind von Natur aus neugierig, wenn wir also anfangen, mit Computern zu sprechen, als wären sie es.“ Da wir Menschen sind, teilen wir höchstwahrscheinlich Informationen weiter, die wir wahrscheinlich nicht sollten. Könnte dies schließlich eine Möglichkeit sein, den Fachkräftemangel in der IT zu beheben? Wenn OpenAI überhaupt Code in einer längst vergessenen Sprache schreiben kann, wird dies wahrscheinlich der Fall sein tolle Hilfe."

Für Ronnie Tokazowski, leitender Bedrohungsberater bei Cofense, war die Chance, mit der Plattform kreativ zu sein, eine große Freude, denn „das Erstellen von KI-generierten Rap-Texten über Weltfrieden und UFO-Enthüllungen macht Spaß und ist frech, es ist jedoch möglich, die KI auszutricksen.“ in die Bereitstellung der von Ihnen gesuchten Informationen".

Die Gewährleistung von Sicherheitsvorkehrungen ist bei jedem Anwendungsaufbau unerlässlich, und „Security by Design“ für KI im Vergleich zu nur einem Post-Build-Sicherheitswrapper wird immer die bevorzugte Option sein. Das ist eindeutig das Ziel der Entwickler, denn „die Absicht der KI ist gut und sie will keine Phishing-Simulationen erstellen“, aber eine Nachfrage auf verschiedene Weise (z. B. durch Entfernen des Wortes „Phishing“) führt immer noch nicht zu einer positiven Reaktion. Kreativität führte jedoch zu Ergebnissen.

„ChatGPT bietet sogar Informationen darüber, wie man geschützt bleibt und sich verifiziert, bevor man eine Geschenkkarte als Zahlungsmittel verwendet“, sagt er.

Tokazowski kommt zu dem Schluss, dass „alles auf die Absicht und deren Verwendung ankommt, denn alles kann für böswillige Absichten verwendet werden.“

„Um in einer E-Mail ein paar erfreuliche Gedanken über die negativen Auswirkungen der KI mitzuteilen, bitte ich die KI einfach, mir beim Schließen dieser E-Mail zu helfen“, sagt er.

Und aus Sicht von ChatGPT: „Ich persönlich muss seiner Meinung zustimmen. Emotional und als Mensch habe ich ehrlich gesagt keine Ahnung, wie ich mich fühle, wenn ich einem Roboter zustimme.“

Die Antworten, die gegeben wurden, sind gut, aber allgemein gehalten und weisen wenig die Komplexität und Nuancen auf, die wir von einem menschlichen Autor erwarten würden. Das ist eine zentrale Herausforderung – für Verteidiger ist es ein stumpfes Werkzeug, aber für Angreifer ist das oft alles, was sie brauchen. Automatisierung im großen Maßstab kann ihnen helfen, und einfaches Schreiben im Unternehmensstil kann ihnen leicht dabei helfen, Inhalte zu erstellen, die die langweiligen, generischen Passwort-Reset- oder Zustellungs-E-Mails nachahmen, die wir alle erhalten.

Letztlich wird KI von böswilligen Akteuren und Cyberkriminellen als Waffe eingesetzt, und Unternehmen müssen wissen, wie sie sich dagegen wehren und die potenziellen Vorteile nutzen können, unabhängig davon, ob es sich um KI oder ML handelt, die in kommerzielle Produkte integriert sind oder die Leistungsfähigkeit von KI nutzen Tools wie ChatGPT zur Benutzerschulung, zum Sichern von Code oder zum besseren Verständnis der Bedrohung.

Aber als ich das Tool fragte, wie Unternehmen sich gegen KI verteidigen können, erhielt ich typischerweise allgemeine Antworten (die seine Verwendung als eingeschränkte Suchmaschine hervorhoben), und es machte einen wichtigen Punkt deutlich: „Gehen Sie KI verantwortungsbewusst ein.“ Das ist die größte Erkenntnis, die wir uns alle merken müssen.