Artikel aus dem Handelsblatt Journal „Cybersecurity & Datenschutz“
Künstliche Intelligenz (KI) hat sich in den letzten drei Jahren zu einem dominierenden Thema entwickelt. Die Einführung von ChatGPT durch OpenAI hat den Trend zur Automatisierung und potenziellen Autonomisierung bestehender Prozesse deutlich verstärkt. Parallel dazu rücken Bereiche wie Assisted Coding und autonome Programmierung zunehmend in den Fokus der Diskussion.
Gleichzeitig zeigen aktuelle Studien, dass nahezu die Hälfte des KI-generierten Codes Sicherheitsrisiken aufweist – bei Java-Code sogar über 70%. Die Frage nach der Sicherheit von KI-generiertem Code ist daher nicht nur berechtigt, sondern dringend.
Solange Unternehmen jedoch signifikante Effizienzgewinne durch KI-generierten Code erzielen, wird der Versuch einer Sicherheitsabteilung, diesen vollständig zu unterbinden, nicht erfolgreich sein. Vielmehr gilt es, strukturelle Leitplanken zu etablieren, die eine sichere Nutzung ermöglichen und Sicherheit als Business Enabler positionieren. Dies erfordert entsprechendes Domänenwissen.
Code-Generierung
Eine sinnvolle Lösung besteht darin, Automatismen zur Überprüfung von KI-generiertem Code einzusetzen. Studien zeigen die Wirksamkeit dieses Ansatzes. Moderne Systeme wie Claude Code bieten bereits direkte Unterstützung für Code Reviews.
Um hier eine sinnvolle Lösung zu Absicherung zu finden, sind Sicherheitsteams gefordert, sich auf die Geschwindigkeit des technologischen Wandels einzustellen und diesen mitzugehen: Grundsätzlich sollten die Sicherheitsfunktionen direkt in Funktionen integriert werden, die für Versionskontrollsysteme und CI/CDPipelines zuständig sind.
Aufgrund der immer schnelleren Evolutionszyklen müssen traditionelle, zeitaufwändige Sicherheitsprozesse bei der Quellcodebewertung durch automatisierte, KI-gestützte Prüfverfahren ersetzt werden, um sowohl Geschwindigkeit als auch Sicherheit zu gewährleisten.
Dies stellt eine Herausforderung für klassische, Compliance-orientierte Sicherheitsfunktionen dar, da deren Vorgaben und Kontrollen an Effektivität verlieren.
Zwischenfazit
Die wachsende Bedeutung KI-basierter Code-Generierung erfordert eine Anpassung der Sicherheitsfunktionen. Diese müssen von reaktiven, Compliance-orientierten Ansätzen zu proaktiven, technologie-integrierten Lösungen übergehen. Ohne diese Weiterentwicklung verlieren sie an Relevanz und Wirksamkeit.
KI-Anwendungen jenseits der Code-Generierung
Neben dem Einsatz in der Code-Generierung gibt es verschiedene Ansätze zur KI-Nutzung im Sicherheitsumfeld:
- Cyber Defense: KI unterstützte Analysesysteme wie EDR-Systeme und automatisierte SOC/SIEM-Ansätze.
- Schwachstellenerkennung: Automatische Identifikation von Vulnerabilities (Google erregte Aufmerksamkeit durch KI-basierte Schwachstellenfunde etwa in SQLite)
- Schwachstellen-Priorisierung: Bewertung basierend auf Exposure und Experteneinschätzungen mit anschließender automatisierter Remediation
- Risk Management: Automatisierung klassischer fragebogenbasierter Ansätze sowie Third Party Risk Management
So faszinierend diese Ansätze auch sein mögen, vorhandene Legacy-Systeme müssen berücksichtigt werden. Unternehmen sollten daher eine unternehmensweite Digitalisierungsstrategie zur Ablösung von Altsystemen entwickeln.
Welchen Nutzen ziehen Angreifer aus KI-Technologien?
Gut dokumentierte Bereiche sind u. a.:
- Optimierte klassische E-Mail-basierte Phishing-Angriffe
- Voice Phishing-Angriffe
- Generierung von maliziösem Code
- Malware, die lokale LLMs nutzt
- Prompt Injection-Angriffe, Echoleak
Das bedeutet: Jenseits sehr gut generierter Sprachund Videoklone beobachten wir vor allem eine Beschleunigung bestehender Angriffsarten. Völlig neue Angriffsklassen entstehen hingegen nicht. Allerdings sehen wir spannende Adaptierungen bekannter Techniken, wie der Echoleak-Fall zeigt, der neue Angriffsflächen nutzt. Beispielsweise handelt es sich bei Angriffen gegen LLMbasierte Systeme durch fehlende Inputvalidierung weiterhin um klassische Injection-Angriffe.
Eine gut aufgestellte 1,5-Linie-Sicherheitsfunktion (d. h. Vorgabedefinition, Kontrolle und Sicherheitsumsetzung in einer Funktion kombiniert) mit solider technischer Ausbildung kann die Übertragung klassischer Angriffsvektoren auf die KI-Ära sehr gut bewältigen.
Neben der Verteidigersicht bietet es sich an, einen genaueren Blick auf die Angreifersicht zu werfen. Es gilt, den Blickwinkel zu erweitern und zu analysieren, in welche Bereiche Angreifer investieren. Basierend auf Untersuchungen lässt sich festhalten, dass der Fokus aktuell noch stark auf der Optimierung von Workflows liegt.
Aktuelle Angriffsvektoren und Vorgehensweisen
Bei den prominenten Cyberangriffen der letzten Monate zeigt sich eine deutliche Häufung der Supply Chain- Attacken. Ein weiterer prominent diskutierter Angriff betraf lokale Sharepoint-Installationen. Dieser stand jedoch in keinem direkten Zusammenhang mit KI, höchstens im Kontext der Automatisierung von Exploits, insbesondere bei der Ausnutzung der Sharepoint-Schwachstelle. Das bedeutet keineswegs, dass es keine Angriffe auf KI-basierte Systeme gibt (wie z. B. Echoleak bewiesen hat). Sie sind lediglich noch nicht im Fokus der Öffentlichkeit angekommen.
Was bedeutet das für Verteidiger?
Über Jahre bewährte Mechanismen wie z. B. Input Validierung und Dependency Checking bleiben weiterhin valide. Ein Blick in die OWASP Top 10 für AI zeigt keine komplett neuen Angriffsvektoren, mitunter jedoch sehr geschickt adaptierte bekannte. Während heute SOARRunbooks bereits ein hohes Maß der Automatisierung bieten, werden KI-basierte Systeme in den kommenden Jahren völlige Autonomie in den ersten beiden Ebenen eines SOC-Betriebs ermöglichen.
Als weiterer Schwerpunkt ist die zuvor schon erwähnte Absicherung von selbst generiertem Code zu nennen.
Anpassungsgeschwindigkeit als Erfolgsfaktor für Verteidiger
Sowohl Angreifer als auch Verteidiger profitieren von KI – entscheidend ist, wer diese Ansätze konsequenter und effektiver nutzt. Verteidiger können nur dann erfolgreich sein, wenn sie mit den rasanten Entwicklungszyklen Schritt halten und sich kontinuierlich anpassen. Eine nicht-technisch ausgerichtete Sicherheitsfunktion wird die notwendige Resilienz nicht gewährleisten können.
„Cybersecurity & Datenschutz“ erschienen. Das vollständige Journal können Sie sich hier kostenlos herunterladen: