Sicherheit im Zeitalter der KI: Mythos und die Rückbesinnung auf die Grundlagen

Seit den Anfängen der Computer bestand unser Sicherheitsansatz darin, das sprichwörtliche Problem in die Zukunft zu verschieben. Jahrzehntelang lautete die Devise: „Erst einführen, später sichern." Im Laufe der Jahre hat sich dieser Ansatz tief in unsere Arbeitsweise eingegraben, wobei eine ganze Sicherheitsindustrie rund um den Aufbau von Systemen entstanden ist, um den Geschäftsbetrieb am Laufen zu halten, ohne jemals die Grundursachen anzugehen.

Doch jetzt hält die KI Einzug in die Cybersicherheit, und es gibt kein Entkommen mehr.

Wir sprechen gerade jetzt darüber, weil das, was wir für die Zukunft erwartet hatten, tatsächlich vor unseren Augen geschieht. Vor ein paar Tagen hat Anthropic, einer der führenden KI-Anbieter, sein Spitzenmodell Mythos vorgestellt, das offenbar außerordentlich gut darin ist, Sicherheitsprobleme zu finden und auszunutzen. Zudem kündigten sie Project Glasswing an, ihre Initiative zur verantwortungsvollen Offenlegung tausender neu entdeckter Schwachstellen.

Es ist eine spürbare Panik unter Sicherheitsexperten zu erkennen. Regierungen warnen bereits Unternehmen (Kanada, Großbritannien). Genau das ist das Wesen der KI: Menschliches Wissen wird gebündelt, repliziert und kostengünstig wiederholt angewendet – im Guten wie im Schlechten.

Um zu verstehen, warum sich das so stark auf die Sicherheit auswirkt, müssen wir zunächst verstehen, wie Computersicherheit heute funktioniert. Kurz gesagt und etwas vereinfacht: Nichts ist wirklich sicher. Die Sicherheitsindustrie ist nicht darauf ausgelegt, grundlegende Probleme zu beheben, sondern vielmehr ein Gleichgewicht aufrechtzuerhalten, damit der Geschäftsbetrieb weiterlaufen kann. In Wahrheit sind menschliche Unternehmungen chaotisch, Computernetzwerke noch viel mehr, und nichts davon lässt sich leicht beheben.

Nehmen wir nur ein Beispiel: Die neueste Version von Chrome, einer der ausgereiftesten und am sorgfältigsten gepflegten Softwarelösungen, enthält insgesamt 60 Sicherheitskorrekturen. Davon sind 2 als kritisch und 14 als hoch eingestuft.

Die entscheidende Veränderung besteht darin, dass KI nun Probleme – sei es in Software oder Computernetzwerken – in einem Tempo aufdeckt, mit dem wir nicht mehr Schritt halten können. Einfach mehr vom Gleichen zu tun, funktioniert nicht.

Es wäre einfach, Mythos als gut inszenierten PR-Coup abzutun, aber alle anderen Indikatoren und Trends deuten in dieselbe Richtung. Im Vereinigten Königreich testet das AI Security Institute KI-Modelle anhand simulierter „Cyber-Ranges", die reale Umgebungen nachbilden. Sie gaben bekannt, dass Mythos das erste Modell ist, das eine ihrer Ranges erfolgreich abgeschlossen hat. Unbeaufsichtigt.

Im Open-Source-Bereich, den wir gewissermaßen als Frühwarnsystem nutzen können, war KI zunächst eine negative Kraft, die zu einer Flut nutzloser Problemberichte führte. Das hat sich geändert. Die heute eingehenden Berichte sind gut, und praktisch alle mithilfe von KI erstellt. Andere Projekte berichten von ähnlichen Erfahrungen und beklagen, dass es schwierig sei, mitzuhalten.

Gleichzeitig meldet HackerOne einen deutlichen Anstieg der Bug-Einreichungen, der darauf zurückzuführen ist, dass KI Sicherheitsforschern hilft, mehr zu leisten und ihre Fähigkeiten zu erweitern. Unternehmen tun ihr Bestes, um mitzuhalten, mit höheren Behebungsraten, konnten aber mit dem Anstieg der Einreichungen nicht Schritt halten.

Wer es technischer mag, sollte diesen Erfahrungsbericht eines tatsächlichen Exploit-Entwicklers lesen, der KI eine Chance gegeben hat. Das Fazit? Es ist noch etwas ungeschickt, aber es funktioniert... und wird nur noch besser werden. Anders als menschliche Akteure, die durch unsere Biologie einer inhärenten Grenze unterliegen, haben KI-Systeme das Potenzial zum selbstständigen Lernen in einem Ausmaß, das unsere Fähigkeiten bei weitem übertreffen kann. Immer wieder müssen wir uns daran erinnern, dass dies die schlechteste Version dieser Technologie ist, die wir je sehen werden.

Was ist jetzt zu tun? Eine Möglichkeit, die kurzfristig vielleicht die einfachere ist, besteht darin, das zu tun, was wir schon immer getan haben – nur besser. Das ist leichter gesagt als getan. KI-Agenten könnten bei der Verteidigung helfen, doch es wird immer eine Asymmetrie geben. Angreifer können ihre offensiven Agenten sorglos loslassen, während Verteidiger weiterhin die Aufsicht darüber behalten müssen, was ihre defensiven Agenten tun. Zudem haben KI-Agenten selbst noch einen weiten Weg vor sich, bis sie sicher sind – ein Problem, das die Angreiferseite nicht hat.

Der langfristige Ratschlag, der sich abzeichnet, lautet jedoch: zurück zu den Grundlagen. Das mag zunächst seltsam erscheinen, weil wir so sehr an den aktuellen Zustand gewöhnt sind, doch Unsicherheit ist kein unausweichliches Schicksal. Komplexe Umgebungen werden zweifellos immer zu ausnutzbaren Schwachstellen führen, aber es gibt so viele leicht zu erreichende Verbesserungen, die wir sofort angehen könnten.

Was sind diese Grundlagen? Zunächst benötigt jede Organisation ein präzises Bestandsverzeichnis ihrer Assets, das kontinuierlich und in Maschinengeschwindigkeit aktualisiert wird. Also in derselben Geschwindigkeit, in der auch die Angreifer agieren. Zweitens: konsequent alles aus dem Internet entfernen, was dort nicht sein muss. Verschleierung hat lange Zeit für Sicherheit gesorgt, aber nur, weil ein Durchbruch teuer war. Wenn sich die Kosten für Entdeckung und Ausnutzung dem Nullpunkt nähern, wird Sicherheit durch Verschleierung nicht mehr praktikabel sein. Drittens muss alles, was online bleibt, gehärtet und korrekt konfiguriert sein. Viertens sollten Aktivitäten überwacht und die Erkennung verbessert werden.

Langfristig müssen wir einfach aufhören, unseren Netzwerken neue unsichere Systeme hinzuzufügen. Erleben wir gerade den Moment, in dem die Bereitstellung unsicherer Software wirtschaftlich nicht mehr tragbar wird? Unsere einzige Option für die Zukunft besteht darin, tatsächlich herauszufinden, wie man sichere Software schreibt und einsetzt. Zurück zu den Grundlagen – im wahrsten Sinne des Wortes.