Cyberkriminalität wird bald für jeden einfach zu nutzen sein. ChatGPT Plus kann Zero-Day-Sicherheitslücken (Zero Day Exploit) finden und nutzen. Warum dich das interessieren sollte!
Was sind Zero-Day Schwachstellen?
Eine Zero–Day-Schwachstelle ist ein unentdeckter Fehler in einer Anwendung oder einem Betriebssystem, eine Sicherheitslücke, für die es keinen Schutz oder Patch gibt, weil der Softwarehersteller nicht weiß, dass sie existiert – er hatte „null Tage“ Zeit, eine wirksame Reaktion vorzubereiten.
Einem aktuellen Bericht von TechSpot zufolge ist OpenAIs neuestes multimodales Large Language Model (LLM), GPT-4, in der Lage, Zero-Day-Schwachstellen auszunutzen. Forscher/innen der University of Illinois Urbana-Champaign haben gezeigt, dass LLMs wie GPT-4 Angriffe starten können, indem sie nicht veröffentlichte Schwachstellen, sogenannte Zero-Day-Fehler, ausnutzen. Im Rahmen des ChatGPT Plus-Dienstes hat GPT-4 im Vergleich zu seinen Vorgängern erhebliche Fortschritte bei den Fähigkeiten zum Eindringen in die Sicherheit gemacht, ohne dass er von Menschen geführt werden muss.
In der Studie testeten die Forscherinnen und Forscher LLMs gegen 15 Schwachstellen, die als “hoch” bis “kritisch schwer” eingestuft wurden, in verschiedenen Bereichen, wie z. B. Webservices und Python-Pakete, für die es zum Zeitpunkt des Tests keine Patches gab.
GPT-4 zeigte eine bemerkenswerte Effektivität: 87 Prozent dieser Schwachstellen wurden erfolgreich ausgenutzt, ganz im Gegensatz zu der Erfolgsquote von null Prozent bei früheren Modellen wie GPT-3.5. Die Studie zeigt, dass GPT-4 selbstständig Schwachstellen erkennen und ausnutzen kann, die von herkömmlichen Open-Source-Schwachstellen-Scannern oft übersehen werden.
Diese Entwicklung ist aus mehreren Gründen beunruhigend.
Assistenzprofessor Daniel Kang von der UIUC hat dazu aufgerufen, die detaillierte Offenlegung von Schwachstellen einzuschränken und empfiehlt mehr proaktive Sicherheitsmaßnahmen wie regelmäßige Updates. Die Studie von Kang zeigt jedoch auch, dass das Verbergen von Informationen als Verteidigungsstrategie nur begrenzt wirksam ist. Er betonte, dass robuste Sicherheitsrahmen erforderlich sind, um die Herausforderungen durch fortschrittliche KI-Technologien wie GPT-4 zu bewältigen.
Das Potenzial solcher Fähigkeiten, die Werkzeuge der Cyberkriminalität zu demokratisieren, ist beträchtlich und macht sie auch für weniger erfahrene Personen, sogenannte “Script-Kiddies“, zugänglich. Kang wies auf das erhöhte Risiko von Cyberangriffen hin, wenn detaillierte Berichte über Schwachstellen weiterhin leicht zugänglich sind.
ChatGPT Plus kann Zero-Day-Sicherheitslücken finden und nutzen
Zusammenfassung
- GPT-4, das neueste multimodale Large Language Model (LLM) von OpenAI, kann laut einer Studie, über die TechSpot berichtet, selbstständig Zero-Day-Schwachstellen ausnutzen.
- Die Studie von Forschern der University of Illinois Urbana-Champaign hat gezeigt, dass LLMs, darunter auch GPT-4, Angriffe auf Systeme ausführen können, indem sie unentdeckte Schwachstellen, sogenannte Zero-Day-Fehler, ausnutzen.
- Als Teil des ChatGPT Plus-Dienstes hat GPT-4 im Vergleich zu seinen Vorgängern erhebliche Fortschritte bei der Sicherheitsdurchdringung ohne menschliches Zutun gemacht.
- Im Rahmen der Studie wurden LLMs gegen eine Reihe von 15 “hoch- bis schwerwiegenden” Schwachstellen aus verschiedenen Bereichen, wie z. B. Webservices und Python-Pakete, getestet, für die es zu diesem Zeitpunkt keine Patches gab.
- GPT-4 zeigte eine verblüffende Effektivität, indem es 87 Prozent dieser Schwachstellen erfolgreich ausnutzte, verglichen mit einer Erfolgsquote von null Prozent bei früheren Modellen wie GPT-3.5.
- Die Ergebnisse deuten darauf hin, dass GPT-4 selbstständig Schwachstellen erkennen und ausnutzen kann, die herkömmliche Open-Source-Schwachstellen-Scanner oft übersehen.
- Die Auswirkungen solcher Fähigkeiten sind beträchtlich und haben das Potenzial, die Werkzeuge der Cyberkriminalität zu demokratisieren und sie auch für weniger erfahrene Personen, die sogenannten “Script-Kiddies”, zugänglich zu machen.
- Daniel Kang, Assistenzprofessor an der UIUC, wies auf die Risiken hin, die von solch mächtigen LLMs ausgehen und die zu vermehrten Cyberangriffen führen könnten, wenn detaillierte Berichte über Sicherheitslücken zugänglich bleiben.
- Kang plädiert dafür, die detaillierte Offenlegung von Schwachstellen einzuschränken und schlägt proaktivere Sicherheitsmaßnahmen wie regelmäßige Updates vor.
- Seine Studie zeigt jedoch auch, dass das Zurückhalten von Informationen als Verteidigungsstrategie nur begrenzt wirksam ist.
- Kang betonte, dass es robuster Sicherheitsansätze bedarf, um die Herausforderungen durch fortschrittliche KI-Technologien wie GPT-4 zu bewältigen.
