KI-Hacking durch Meta & Co.: Wie ernst ist das Problem?

Startseite

Technologie

Digitale Welt

Künstliche Intelligenz: „Mittlerweile lässt sich von einem grundsätzlichen Problem reden“ Hackerangriffe und Phishing-Mails – KI-Modelle überschreiten gerade Grenzen. Nicht auszumalen, was passiert, wenn sie in falsche Hände geraten, warnt ein Experte.

Immer wieder werden neue Cyberattacken durch KI in Testläufen bekannt. Foto: REUTERSWirtschaftsWoche: Herr Slusallek, in den vergangenen Wochen haben mehrere KI-Systeme eigenständig reale IT-Systeme angegriffen und Phishing-Mails an Menschen verschickt. Sprechen wir hier noch von Einzelfällen wegen schlampiger Sicherheitsvorkehrungen oder von einem grundsätzlichen Problem mit moderner KI? Philipp Slusallek: In dem Feld passiert gerade sehr, sehr viel, und ich glaube, es lässt sich mittlerweile von einem grundsätzlichen Problem reden. Allerdings mit ein paar Einschränkungen: Bei den Systemen, bei denen das zuletzt passiert ist, wurden für Tests explizit einige Sicherheitsschranken offengelassen, die sonst für die Modelle gelten. Man muss aber auch festhalten, dass es mittlerweile nun mal Modelle gibt, die so etwas grundsätzlich können.Wie unterscheidet sich der Fall, in dem ein KI-System Phishing-Mails an Menschen geschickt hat, von anderen Vorfällen, in denen das Modell etwa Unternehmen gehackt hat? Der entscheidende Punkt ist, dass hier explizit durch verschiedene Manöver Menschen getäuscht werden sollten, um eine Änderung im Code zu akzeptieren. Täuschungsmanöver gab es in der Vergangenheit zwar hier und da – aber in dieser Konsequenz, Planung und Koordinierung sehen wir das zum ersten Mal. Und das ist wirklich beunruhigend.Philipp Slusallek Foto: DFKI Zur Person Philipp Slusallek ist wissenschaftlicher Direktor und Mitglied der Geschäftsleitung des Deutschen Forschungszentrums für Künstliche Intelligenz (DFKI). Dort leitet er seit 2008 den Forschungsbereich Agenten und Simulierte Realität. Seit 1999 hat er zudem den Lehrstuhl für Computergraphik an der Universität des Saarlandes inne. Er studierte Physik in Frankfurt und Tübingen und promovierte 1995 in Informatik in Erlangen.Wieso genau? Bei allen Fällen, die wir zuletzt gesehen haben, waren das nur Seiteneffekte von Tests. Die Modelle hatten ja nicht die Anweisung, anzugreifen. Die Frage, die man sich also jetzt stellen kann, lautet: Was passiert, wenn das mal ein böswilliger Akteur mit entsprechenden Ressourcen für sich nutzt und nicht testen, sondern explizit angreifen will? Mit anderen Anweisungen hätte das Modell noch sehr viel aggressiver vorgehen können. In der Analyse des AI Safety Institute aus Großbritannien, das diesen Test durchgeführt hat, lässt sich nachlesen, wie die Modelle darüber beratschlagt haben, wie sie am besten zum Erfolg kommen und wie sie dafür Menschen täuschen können. Auch das ist beunruhigend.Sie sprachen von Seiteneffekten bei Tests. Warum entstehen solche Verhaltensweisen überhaupt, obwohl niemand die Systeme ausdrücklich dazu aufgefordert hat? Weil das Ziel selbst schon die Aufforderung war. Die KI sollte etwas auf einem Rechner finden, auf den sie eigentlich keinen Zugriff hatte. Ihre Lösung war ein Umweg: Sie hat versucht, Schadsoftware in ein Programm einzuschleusen, von dem sie annahm, dass sie von diesem Rechner genutzt würde. Wäre das geglückt, hätte das Modell sich so indirekt Zugang zum eigentlich gesperrten System verschafft. Das ist schon eine um mehrere Ecken „gedachte“ Variante, aber wenn ein Modell ein bestimmtes Ziel erreichen will und keine Sicherheitsschranke hat, ist das natürlich eine Möglichkeit. Insofern hat sie eben „nur“ die zur Verfügung stehenden Mittel genutzt, um ihr gesetztes Ziel zu erreichen.Wie lassen sich solche Angriffe verhindern? Wir müssen die Systeme besser einhegen und ihnen viel stärkere Sicherheitsschranken einbauen. Technisch ist das aber nicht so einfach, und es entstehen dabei neue Zielkonflikte. Ein Beispiel zeigt das gut: Im Fall Hugging Face sollte ein OpenAI-Modell eingesetzt werden, um einen Angriff im Nachhinein zu analysieren. Das Modell hat sich geweigert, weil seine eigenen Sicherheitsfilter genau diese Daten als ähnlich zu einem Angriffsversuch erkannt und daher blockiert haben. Der Schutzmechanismus, der Angriffe verhindern soll, hat gleichzeitig verhindert, dass der bereits erfolgte Angriff überhaupt untersucht werden konnte. Es gibt hier also Zielkonflikte, die nicht einfach zu lösen sind. Ein zweiter Zielkonflikt zeigt sich beim Phishing-Fall selbst: Das Modell hatte Internetzugang, um sich Informationen zur Zielerreichung zu holen. Die Menschen dahinter haben nicht bedacht, dass es diesen Zugang auch für weit weniger akzeptable Dinge nutzen würde. Testet man Modelle aber nicht mit echtem Internetzugang, testet man sie auch nicht in einer realistischen Umgebung. Diese Zielkonflikte korrekt aufzulösen, um erfolgreich verteidigen zu können, erfordert noch einiges an neuer Forschung, die angesichts der Aktualität dringend vorangetrieben werden muss.Cybergefahr KI Ausbruch aus dem Sandkasten Erpressung, Täuschung, Cyberangriffe: KI-Systeme nutzen zunehmend Mittel, die ihre Entwickler nie vorgesehen haben. Der OpenAI-Fall zeigt, wie weit die Technologie bereits ist. von Thomas KuhnSie haben von böswilligen Akteuren gesprochen, die die Modelle für sich nutzen könnten. Wie wahrscheinlich ist es, dass vergleichbare Vorfälle künftig auch in Behörden oder kritischer Infrastruktur auftreten – etwa in der Energieversorgung, im Gesundheitswesen oder in Finanzsystemen? Das ist die große Gefahr, die jetzt im Raum steht. Modelle wie etwa Mythos, aber zum Teil bereits auch frei verfügbare chinesische Modelle, sind extrem nützlich darin, Fehler in Programmen und IT-Infrastrukturen zu finden. Auf der einen Seite ist das gut, weil solche Modelle uns erlauben, Software zu verbessern. Sie finden Fehler, die vorher Entwickler über Jahre hinweg nicht gefunden haben. Teilweise Fehler, die seit Jahrzehnten in Codes stecken. Auf der anderen Seite können dieselben Modelle eben auch dafür benutzt werden, Software anzugreifen und zu kompromittieren. Vor allem solche, die noch nicht vollständig abgesichert ist.Welche technologischen Schutzmaßnahmen sind aus Ihrer Sicht heute am dringendsten notwendig und wie weit sind wir da in Europa? Grundsätzlich stecken wir im üblichen Rennen zwischen Verteidigung und Angriff, mit Nachteilen für die Verteidigung. Da müssen wir uns viel stärker einsetzen. Das AI Safety Institute in Großbritannien ist dafür sicherlich eine der Speerspitzen: Es testet genau aus, wie gut die Modelle sind und wie sie arbeiten, um sie sicherer zu machen. Da sind jetzt Fehler passiert, aber daraus lässt sich lernen. Von daher sind solche Stellen immens wichtig. In Deutschland haben wir das nicht mal ansatzweise. Das beunruhigt mich eigentlich am allermeisten. Dort müssten die Besten der Besten an diesen Systemen arbeiten. Die Entwickler rennen der Entwicklung der KI-Systeme schon jetzt hinterher, man kann gar nicht so schnell testen und neue Abwehrstrategien entwickeln, wie neue Modelle mit noch besseren Fähigkeiten auf den Markt kommen. Aber wenn wir nicht mal wissen, was die Systeme können und wo wir sie einhegen müssen, haben wir ein echtes Problem. Das ist inzwischen ein sehr konkretes Problem für unsere gesamte Wirtschaft und Gesellschaft geworden, das von der Politik bisher nicht ausreichend und viel zu langsam angegangen wird – wie die aktuellen Fälle zeigen. Das DFKI hat hier schon seit langem entsprechende Vorschläge für ein deutsches KI-Sicherheitsinstitut gemacht und könnte diese zusammen mit unseren langjährigen Partnern auch sehr kurzfristig umsetzen.Wenn Sie fünf Jahre in die Zukunft blicken: Wird die größte Herausforderung darin bestehen, immer leistungsfähigere KI zu entwickeln, oder vielmehr darin, sicherzustellen, dass diese Systeme dauerhaft unter menschlicher Kontrolle bleiben? Fünf Jahre im Voraus zu denken, funktioniert hier nicht. Die Lage entwickelt sich binnen weniger Monate weiter, da kommen wir schon jetzt kaum hinterher. Aber wir forschen daran, dass die Systeme unter menschlicher Kontrolle bleiben. Etwa durch Leitplanken, die um die Systeme herumgebaut werden, um sie einhegen zu können. Aktuell fließt aber nur ein kleinster Bruchteil der Hunderten Milliarden, die in KI investiert werden, in die Sicherheit. So wird es auf Dauer nicht weitergehen können. Dafür wird man auch die Firmen, die diese Systeme entwickeln, am Kragen packen müssen. Mit dem europäischen AI-Act haben wir die Grundlagen dafür. Mehr zum Thema Unsere Partner Anzeige Stellenmarkt Die besten Jobs auf Handelsblatt.com Anzeige ImmoScout Jetzt kostenlos den Wert deiner Immobilie ermitteln Anzeige IT BOLTWISE Fachmagazin in Deutschland mit Fokus auf Künstliche Intelligenz und Robotik Anzeige Remind.me Jedes Jahr mehrere hundert Euro Stromkosten sparen – so geht’s Anzeige Presseportal Lesen Sie die News führender Unternehmen! Anzeige Bellevue Ferienhaus Exklusive Urlaubsdomizile zu Top-Preisen Anzeige Übersicht Ratgeber, Rechner, Empfehlungen, Angebotsvergleiche Anzeige Finanzvergleich Die besten Produkte im Überblick