KI-entdeckte Schwachstellen haben Befürchtungen vor einer neuen großen Welle von Cyberangriffen ausgelöst. Neue Untersuchungen deuten jedoch darauf hin, dass mit KI gefundene Schwachstellen derzeit nicht häufiger ausgenutzt werden als Sicherheitslücken, die mit traditionellen Methoden entdeckt wurden.
VulnCheck untersuchte mehr als 1.000 KI-gestützte Schwachstellenfunde und stellte fest, dass nur 1,3 Prozent nachweislich in realen Angriffen ausgenutzt wurden. Diese Rate entspricht weitgehend der allgemeinen Ausnutzungsrate für Schwachstellen, die in diesem Jahr gemeldet wurden.
Forschung stellt Hype um KI-Schwachstellen infrage
KI-Unternehmen haben wiederholt davor gewarnt, dass fortschrittliche Modelle es Kriminellen erleichtern könnten, Software-Schwachstellen zu entdecken und für Angriffe auszunutzen. Anthropic schränkte beispielsweise den Zugang zu seinem Mythos-Modell ein, nachdem das Unternehmen erklärt hatte, dass dieses Tausende von Schwachstellen in wichtigen Betriebssystemen und Browsern identifiziert habe.
Das Unternehmen argumentierte, dass ein breiter Zugang zu solchen Werkzeugen die Cyberrisiken erhöhen könnte. Einige Sicherheitsexperten stellten jedoch infrage, ob eine bessere Erkennung von Schwachstellen unmittelbar zu mehr erfolgreichen Angriffen führen würde.
Isaac Evans, Gründer und CEO des Softwaresicherheitsunternehmens Semgrep, bezeichnete Mythos als echten technischen Fortschritt. Gleichzeitig erklärte er, dass die Bedenken hinsichtlich der unmittelbaren Auswirkungen in der realen Welt über die derzeit verfügbaren Belege hinausgingen.
Neue Daten von VulnCheck stützen diese vorsichtigere Einschätzung.
Nur 14 KI-entdeckte Schwachstellen wurden ausgenutzt
VulnCheck analysierte 1.061 Schwachstellen, die mit KI-gestützten Entdeckungen aus Anthropics Project Glasswing und der Berkeley Vulnerability Research Initiative in Verbindung stehen.
Anschließend verglichen die Forscher diese Ergebnisse mit der Datenbank des Unternehmens für bekannte ausgenutzte Schwachstellen. Von den 1.061 KI-gestützten Entdeckungen gab es nur bei 14 bestätigte Hinweise auf eine Ausnutzung in realen Angriffen.
Das entspricht einer Ausnutzungsrate von rund 1,3 Prozent. Laut VulnCheck liegt dieser Wert nahe an der Rate für alle Schwachstellen, die in der ersten Jahreshälfte registriert wurden.
Die Ergebnisse zeigen nicht, dass KI-entdeckte Schwachstellen grundsätzlich gefährlicher oder für Angreifer attraktiver sind.
Tausende Kandidaten bedeuten nicht Tausende Bedrohungen
Anthropic hat über Project Glasswing mehr als 23.000 potenzielle Schwachstellen gemeldet. Bislang haben jedoch nur 126 dieser Meldungen zu veröffentlichten CVEs geführt.
Laut der Untersuchung wurde lediglich eine dieser bestätigten Schwachstellen in realen Angriffen ausgenutzt.
Diese Diskrepanz verdeutlicht einen wichtigen Punkt. Das Auffinden einer potenziellen Schwachstelle ist nicht dasselbe wie die Identifizierung einer bestätigten und tatsächlich ausnutzbaren Sicherheitslücke.
Viele entdeckte Probleme können sich als schwer ausnutzbar erweisen, ungewöhnliche Bedingungen erfordern oder nur begrenzte Auswirkungen auf die Sicherheit haben. Andere können behoben werden, bevor Angreifer die Möglichkeit erhalten, sie auszunutzen.
KI kann weiterhin Angreifern und Verteidigern helfen
Die Untersuchung bedeutet nicht, dass KI-gestützte Schwachstellensuche harmlos ist. Fortschrittliche Modelle können die Zahl potenzieller Sicherheitslücken erhöhen, die Forscher identifizieren. Diese Fähigkeit könnte langfristig sowohl Angreifern als auch Verteidigern zugutekommen.
Derzeit liegt der deutlichste Vorteil möglicherweise auf der Seite der Verteidiger. Sicherheitsteams können KI-gestützte Werkzeuge einsetzen, um Schwachstellen früher zu finden und zu beheben, bevor sie Teil des Werkzeugkastens von Angreifern werden.
Laut VulnCheck zeigen die aktuellen Daten einen realen, aber begrenzten Effekt. Sie stützen nicht die Behauptung, dass KI-entdeckte Schwachstellen bereits einen dramatisch größeren Pool leicht ausnutzbarer Sicherheitslücken geschaffen haben.
Ausnutzungsrate könnte sich mit der Zeit verändern
Die Situation könnte sich ändern, wenn fortschrittliche KI-Modelle für Cybersicherheit leistungsfähiger und breiter verfügbar werden. Ein einfacherer Zugang könnte weniger erfahrenen Angreifern helfen, Schwachstellen zu identifizieren, Exploits zu entwickeln oder bestehende Angriffsmethoden anzupassen.
Die aktuellen Zahlen liefern jedoch kaum Hinweise auf einen plötzlichen Anstieg KI-gestützter Ausnutzung. Derzeit scheinen KI-entdeckte Schwachstellen bei der praktischen Ausnutzung ungefähr vor denselben Herausforderungen zu stehen wie Sicherheitslücken, die von menschlichen Forschern gefunden werden.
Die Zeit wird zeigen, ob die Ausnutzungsrate steigt. Bis dahin sollten Organisationen bekannte Schwachstellen schnell beheben, ein wirksames Schwachstellenmanagement aufrechterhalten und KI-Werkzeuge einsetzen, um ihre eigenen Sicherheitstests zu verbessern.
0 Kommentare zu „KI-entdeckte Schwachstellen sind noch keine Goldgrube für Cyberkriminelle, zeigt Studie“