Latest / KI-Update – ein heise-Podcast / KI-Update Deep-Dive: Künstliche Intelligenz als Security-Albtraum

Transcript

KI-Update Deep-Dive: Künstliche Intelligenz als Security-Albtraum · KI-Update – ein heise-Podcast

• 0:02
  Speaker 1: Das KI Update, ein heise Podcast mit redaktioneller Unterstützung von The Decoder.
• 0:13
  Speaker 1: Hallo ich bin Isabel Grünewald und dies ist unser Deep Dive zum Wochenende!
• 0:20
  Speaker 1: In den vergangenen Wochen schlug Anthropics Mythos hohe Wellen in der Flut aus KI Nachrichten.
• 0:27
  Speaker 1: Dieses KI-Modell soll so mächtig sein dass es Sicherheitslücken ins Software nicht nur
• 0:32
  Speaker 0: finden
• 0:33
  Speaker 1: sondern direkt auch ausnutzen kann.
• 0:36
  Speaker 1: Dabei warnen Sicherheitsexpertinnen nicht erst seit Mythos vor einer verschärften Bedrohungslage durch
• 0:42
  Speaker 0: KI.
• 0:44
  Speaker 1: Darum habe ich vergangene Woche mit meinem Kollegen Dr.
• 0:46
  Speaker 1: Christopher Kunz von Heises Security gesprochen, ich wollte wissen was sich durch KI konkret verändert hat
• 0:53
  Speaker 0: und
• 0:54
  Speaker 1: wie sich Unternehmen besser auf Angriffe mithilfe von künstlicher Intelligenz vorbereiten können.
• 1:01
  Speaker 1: Hallo Christopher!
• 1:05
  Speaker 1: Vielleicht einmal um so eine Baseline aufzubauen, welche Angriffsmethoden haben sich denn durch KI wie verändert?
• 1:16
  Speaker 0: Ja ich tue mich ein bisschen schwer.
• 1:19
  Speaker 0: Die Frage ist vielleicht eher, welche haben sich nicht verändert?
• 1:21
  Speaker 0: also KI verändert schon bei IT Security ziemlich viel manches eher Evolutionär, also da werden Sachen einfach noch ausgefeilter und raffinierter.
• 1:32
  Speaker 0: Manche ist schon sehr nah an revolutionär wenn sich einfach grundlegende Abläufe jetzt ändern müssen.
• 1:36
  Speaker 0: und so Angriffe die wir sehr viel immer noch sehen und jeder sicherlich aus der eigenen inbox kennt sind diese Fishing-Angriffe oder diese Fischen Nachrichten.
• 1:46
  Speaker 0: ihr Paket kann wegen bezahlter Zollgebühren nicht zugestellt werden oder irgendwie.
• 1:52
  Speaker 0: sie müssen ihr Microsoft Konto aktualisieren.
• 1:54
  Speaker 0: Die werden durch KI auch für Akteure, die die jeweiligen Sprachen nicht sprechen und die jeweilligen Ziele nicht kennen viel einfacher realistisch zu bauen.
• 2:05
  Speaker 0: Also da kann man dann sehr genau und sehr gut aussehende Fishing Mails bauen und auf welche die zum Beispiel die Sprache einer bekannten Person sehr gut nachahmen.
• 2:15
  Speaker 0: Und das wird alles so Stück für Stück besser.
• 2:18
  Speaker 0: ich glaube aber gar nicht dass es dadurch viel, viel effektiver wird.
• 2:22
  Speaker 0: Denn man kriegt zwar vielleicht ein paar schlaue Leute dabei aber das bei Fishing Nachrichten ist auch immer so'n bisschen die Idee dahinter, auch bei diesen Betrugs-Nachrichten wo es um irgendwelche Überweisungen geht dass man seine Zielgruppe ein bisschen aussucht, dass mal die Leute, die vielleicht dazu tendieren ein bisschen leichtgläubiger zu sein schon in den Fishing nachrichten so ein bisschen vorsortiert.
• 2:42
  Speaker 0: also das ist eher so evolutionär.
• 2:44
  Speaker 0: Aber technische Sicherheitslücken da wird's richtig spannend Da passiert unheimlich viele Momente
• 2:49
  Speaker 1: Und da sind wir ja direkt schon bei Mythos, davon habe ich in der Anmoderation schon gesprochen.
• 2:55
  Speaker 1: Mozilla sagt sie haben zweihundertseinundsiebzig Sicherheitslücken in Firefox damit schließen können.
• 3:01
  Speaker 1: Das klingt für den Line wie eine irrsinnige Zahl.
• 3:04
  Speaker 1: Also man denkt sich so als jemand der selbst keine Software entwickelt.
• 3:08
  Speaker 1: Wie kann denn überhaupt eine Software auf die Menschheit losgelassen werden?
• 3:11
  Speaker 1: In der zweihundertsiebsig Sicherheits lücken sind und das sind hier auch nicht die ersten jährlich-merzdriege gefunden wurden.
• 3:17
  Speaker 1: Wie läuft es eigentlich ab?
• 3:19
  Speaker 0: Ja, also das muss man so ein kleines bisschen einordnen.
• 3:22
  Speaker 0: Ich habe am Freitag mit jemandem aus dem Mozilla Security Team gesprochen und ich war auf der Ponto owner einer Security Veranstaltung in Berlin Und die haben erst mal mit Mythos nicht die Sicherheitslücken behoben sondern es haben sich schön noch von Hand gemacht natürlich schon teilweise KI assistiert.
• 3:39
  Speaker 0: aber Es ist nicht so dass die KI die Sicherheizlücken findet und dann auch gleich alle super fix.
• 3:43
  Speaker 0: Das ist schon noch zu großen teilen handarbeit und auch teil des problemes dadurch.
• 3:48
  Speaker 0: Und firefox ist einfach eine riesen software.
• 3:50
  Speaker 0: firefox alleine hat zwanzig millionen zahlen code, und isst eine eine software die sich unheimlich viel verändert aber gleichzeitig unheimliche viel alte sachen mitschleppen muss.
• 4:06
  Speaker 0: also der das firefox team verspricht dass wenn du nineteen neunzehne webseite gebaut hast, dass du die in einem aktuellen Firefox immer noch anschauen kannst.
• 4:13
  Speaker 0: Obwohl sich das Web vier fünf sechs sieben mal seitdem komplett verändert hat und trotzdem will Firefox diese alten Sachen immer noch mit anzeigen.
• 4:22
  Speaker 0: Das ist Teil des Versprechens.
• 4:23
  Speaker 0: Und dann hast du viel Code, viel Programmteile, die lange schlummern und die vielleicht lange niemand sich genau angeschaut hat?
• 4:34
  Speaker 0: Wenn du eine KI die nicht unterscheidet zwischen den Sachen, die häufig genutzt und häufig verändert werden.
• 4:40
  Speaker 0: Und denen die selten benutzen, selten verändert werden auf sowas loslässt dann findet die erstmal einen ganzen Stapel Sicherheitsslücken und das kennen wir von praktisch jeder anderen Software auch.
• 4:51
  Speaker 1: Jetzt ist es ja so also wir sehen das ja schon länger dass KI eine Entwicklung benutzt wird und eben Probleme findet oder Fehler im Code.
• 5:02
  Speaker 1: Warum ist Mythos jetzt noch mal besser da drin?
• 5:07
  Speaker 0: Also warum das so ist, weiß ich ehrlich gesagt nicht so genau.
• 5:10
  Speaker 0: Das scheint so zu sein dass er einfach besser darauf trainiert ist Sicherheitslücken zu finden und auch die also sehr nachvollziehbar mit sehr wenigen falschen oder viel weniger falsch positiven.
• 5:26
  Speaker 0: aber Mythos ist auch keine Wundermaschine, die jetzt in einer jeden Software-Sicherheitslücken finden kann.
• 5:35
  Speaker 0: Das haben wir an einem Gegenbeispiel in den vergangenen Tagen auch gesehen und zwar bei der total unbekannten Software Curl, vor allem für Leute, die eben nicht mit Software oder IT Sicherheit zu tun haben.
• 5:48
  Speaker 0: Das ist eine Bibliothek, die praktisch in jedem Gerät das in irgendeiner Weise mit dem Internet interagiert enthalten ist, die sorgt nämlich dafür diese geräte internetseiten abrufen können.
• 6:00
  Speaker 0: also zum beispiel wenn mein router automatisiert jede nacht überprüft ob update vorhanden ist und ein update installieren muss dann prüfte er mit dieser bibliothek curl ob die update url von vom ruder hersteller neues update fehlen hat eine milliardengeräte weltweit nutzen.
• 6:18
  Speaker 0: Dieses curl das ist also eine unheimlich wichtige software wo sie so vergleichsweise unbekannt ist, Entwickler von Köln, das ist Open Source.
• 6:26
  Speaker 0: Die haben auch Zugang zu Mifos gekriegt und mit was hat eine Sicherheitslücke gefunden?
• 6:31
  Speaker 0: Das ist einmal komplett durch die... ...durch den Code von Körl gepflügt hat da eine Sicherheizlücke gefunden weil... ...Mifos nicht unheimlich gut darin ist neuerartige Sachen zu entdecken.
• 6:42
  Speaker 0: Das ist ja ein LLMI.
• 6:44
  Speaker 0: LLMs bilden ja wesentliche Durchschnitte Und können jetzt keine... ...keine Innovation in dem Sinne erzeugern, dass sie sich komplett neue Arten von Sicherheitslücken ausdenken und die dann abtesten, sondern die gucken eben schon nach vorhandenen Sachen.
• 6:58
  Speaker 0: Nach den Sachen, die in ihren Trainingsdaten sind variieren das ein bisschen.
• 7:02
  Speaker 0: Und mit.
• 7:02
  Speaker 0: was ist sehr gut darin?
• 7:03
  Speaker 0: Die Variation eben so auszudehnen dass Sicherheits Lücken gefunden werden.
• 7:07
  Speaker 0: wenige falsch positive.
• 7:08
  Speaker 0: aber es ist jetzt nicht so dass Mufflers jetzt im schnell durchlauf IT Sicherheit durchspielt.
• 7:14
  Speaker 0: ich glaube
• 7:17
  Speaker 1: Das heißt Es sind Am Ende auch immer noch Menschen gefragt, die da drüber gucken.
• 7:22
  Speaker 1: Ich glaube der Betreiber von Köln meinte ja auch das ist ein Hilfsmittel.
• 7:25
  Speaker 1: aber am Ende müssen die Menschen entscheiden weil Mythos da auch irgendwie falsch positive gefunden hat oder sowas?
• 7:32
  Speaker 0: Ja also auch Mythos findet immer noch falsch positive und bei Kölr ist die Spezialsituation die dass jede einzelne Zeile Code also eigentlich alles an diesen zweihunderttausendzeilen Programmquellecode die Kölner ungefähr hat oder sechshundert tausend ich verwechsel das immer ist ungefähr viermal Geschrieben neu geschrieben überprüft worden und da gibt's ein Statistik vom auch vom Hauptentwickler von Köln.
• 7:54
  Speaker 0: Und das ist unheimlich gut dokumentierter, gut überprüfter Quellcode.
• 8:01
  Speaker 0: deswegen kann mit was da nicht mehr viel finden und neigt natürlich dann auch dazu vielleicht noch ein bisschen was herbeizuhaluzinieren und Da muss immer noch einen Mensch drüber gucken.
• 8:11
  Speaker 0: und dass es auch der das Thema bei Firefox gewesen.
• 8:14
  Speaker 0: auch bei Firefox also den diesen diesen massenhaften Sicherheitslücken, die da gefunden wurden muss immer noch ein Mensch drüber schauen und schauen ob das wirklich eine Sicherheitslücke ist oder ob das einfach nur in Anführungszeichen gewöhnlicher Programmfeder ist.
• 8:28
  Speaker 0: Ob das ausnutzbar ist um mal so wirklich auch einen Angriff darauf zu starten.
• 8:31
  Speaker 0: und dass da ganze dann beheben und diese Asymetrie zwischen viele Sicherheits lücken werden gefunden massenhaft Und wir müssen das immer noch händisch alles angucken, ist momentan für viele Software-Entwickler gerade im Open Source Bereich ein Riesenproblem.
• 8:48
  Speaker 1: Das kann ich mir gut vorstellen!
• 8:50
  Speaker 1: Jetzt ist ja auch das Problem weswegen Mythos, glaube ich solche Wellen geschlagen hat... dass Antropik gesagt hat, das ist so mächtig, dass nutzt auch aktiv also das entwickelt quasi die Angriffsszenarien für diese Sicherheitslöcken, die es findet und deswegen darf es nicht auf die Öffentlichkeit losgelassen werden.
• 9:10
  Speaker 1: Ähm, und das hat Regierung auf der ganzen Welt nervös gemacht.
• 9:14
  Speaker 1: Was ist da dran?
• 9:15
  Speaker 1: Ist es mehr Hype oder ist das eine Realität die wir schon beobachten können?
• 9:21
  Speaker 0: Also Angriffsszenarien müssen wir in dieser... Wir werden ein bisschen kontextualisieren.
• 9:26
  Speaker 0: In diesem Fall sind zum Beispiel bei Software-Sicherheitslücken in der Regel die sogenannten Exploits gemeint also die Ausnutzung dieser Sicherheitslücke in einem Programm um beispielsweise Daten auszulesen, die man nicht auslesen dürfte oder Programmcode auszuführen der nicht vorgesehen war.
• 9:43
  Speaker 0: und diese exploids zu bauen ist eine schwierige aber doch erst mal lösbare programmieraufgabe.
• 9:52
  Speaker 0: Da gibt es Spezialisten und die waren letzte Woche am freitag auch auf der Poundhorn auf der ich war Die den ganzen tag nichts machen als diese sicherheitslücken zu suchen Und daraus dann exploits zu bauen und dieser exploits dann entweder an die hersteller der software zu melden und dann gegebenenfalls eine Belohnung dafür zu kassieren oder auf dem freien Markt zu verkaufen, zum Beispiel an Geheimdienste.
• 10:15
  Speaker 0: Oder an Autoren von Malware die dann entsprechend irgendwelche Schadsoftwerbrenzen wäre das was damit machen?
• 10:21
  Speaker 0: und Mythos kann diese Exploits bauen.
• 10:24
  Speaker 0: Das ist aber jetzt das finde ich nicht so super spannend also dass es jetzt kein kein Riesenwunder und dieser Einschränkung die Anthropik da draufgegeben hat das nur bestimmten Unternehmen in die Hand gegeben wird.
• 10:39
  Speaker 0: Das ist natürlich viel Marketing und ich glaube, dass sie da auch ein gutes Marketing betreiben aber es wirklich auch so, dass es natürlich momentan noch sehr stark eingeschränkt ist und viele Unternehmen, die sich das auch gerne angucken würden, da keinen Zugriff drauf haben und ich glaub auch viele Regierungen was die natürlich auch nicht besonders freut.
• 10:58
  Speaker 1: denn das Problem also Mythos könnte ja dann eine ein Teil der Lösung sein, wenn es solche Schwachstellen findet.
• 11:05
  Speaker 1: Bevor eben Leute die Schadsoftware schreiben sie finden für Unternehmen ist das ja wahnsinnig wichtig.
• 11:12
  Speaker 1: also nicht nur wegen Mythos sondern auch wegen der anderen KI da draußen, die sowas kann sich darauf irgendwie vorzubereiten und den Angreifern einen Schritt voraus zu sein.
• 11:22
  Speaker 1: und es fühlt sich so an als würde durch KI dieser Schritt varaus immer kleiner und kürzer werden.
• 11:29
  Speaker 0: diesen Schritt veraus hat's nie gegeben.
• 11:33
  Speaker 0: Also da muss man glaube ich so ein bisschen ehrlich sein, es gibt immer Flickschusterei.
• 11:38
  Speaker 0: Man baut hier noch eine Firewall und noch eine sogenannte Security Appliance davor und hält sich noch ein Gerät hin, das dann dafür sorgen soll dass die Angreifer nicht ins Netz kommen.
• 11:47
  Speaker 0: aber im Grunde ist es in der IT-Security immer so gewesen, dass angreifer vor allem gut ausgerüstete Angreifern den Verteidigern immer ein Schritt voraus waren, weil sie die Sicherheitslücken in aller Regel gefunden haben bevor die Verteidinger sie gefunden haben und sie dann entsprechend auch ausnutzen konnten.
• 12:03
  Speaker 0: Bevor die Varteidiger sie ausnützen können.
• 12:06
  Speaker 0: was sich sehr stark verändert gerade ist der Zeitraum in dem sicherheitslückung zwischen ihrer Behebung und also bei der soft im dem erscheinen auf den Märkten für exploits oder eben bei bei ransomware angriffen Auftauchen.
• 12:25
  Speaker 0: das ist ein.
• 12:27
  Speaker 0: Das ist unheimlich, dass es unheimliche eng geworden.
• 12:29
  Speaker 0: also ein Beispiel.
• 12:31
  Speaker 0: Mitte Mai gab es eine Sicherheitslücke in Linux im Linux kernel also in dem Kern des Linux Betriebssystems.
• 12:38
  Speaker 0: diese Sicherheitslücke wurde gemeldet von einem Unternehmen das eben IT-Sicherheitsforschung betreibt und wurde dann von den Betreibern, also der Entwickler des Linux Kernels behoben.
• 12:51
  Speaker 0: Linux ist Open Source wie wir alle wissen und dementsprechend war diese Fehlerbehebung auch öffentlich.
• 12:56
  Speaker 0: da gab es dann in dem Quellcode eine entsprechend kommentierte Änderung.
• 13:01
  Speaker 0: das waren ungefähr vierundzwanzig Zeilen und wer den Linux Kernel Quellcodes sich mal angeschaut hat Na, ich sag mal es ist jetzt nicht unbedingt menschenlesbar jemanden der das nicht den ganzen tag macht.
• 13:14
  Speaker 0: also da muss man schon relativ genau Wissen Was da abgeht.
• 13:19
  Speaker 0: und denn entsprechend gibt's ein paar beobachter die sich diese sachen sehr genau anschauen.
• 13:23
  Speaker 0: einer von denen meinte oh Das klingt irgendwie interessant.
• 13:25
  Speaker 0: Ich könnte mir vorstellen dass das ein sicherheitsproblem ist.
• 13:28
  Speaker 0: Innerhalb von zwei stunden nach dem der das geschrieben hatte und innerhalb von ich weiß nur fünf stunden Nachdem dieser fehler behoben war gab es funktionierende Exploits für diese Sicherheitslücke, die dazu führen dass ein beliebiger Nutzer oder einen Nutzer beliebige Daten auf dem System lesen konnte.
• 13:43
  Speaker 0: Die eigentlich nicht hätte lesen sollen.
• 13:44
  Speaker 0: und diese diese zwei Stunden das ist schon der extreme Endlich extrem kurze Zeitdauer Das heißt nämlich dass du im Grunde als als verteidiger genau auch nur diese zwei stundenzeit hast.
• 13:54
  Speaker 0: Du guckst hat sich was in blinux kernel verändert Da ist eine fehlerbehebung gemacht worden Und dann hast du zwei stunde zeitig auf die ersten Angriffe vorzubereiten.
• 14:02
  Speaker 0: das ist praktisch mit den aktuellen Gegebenheiten unmöglich für Verteidiger da immer adäquat vorbereitet zu sein.
• 14:09
  Speaker 1: Unmöglich klingt sehr deprimierend, was macht man denn dann als Unternehmen wenn man zum Beispiel Linux benutzt?
• 14:17
  Speaker 0: Darüber habe ich in der vergangenen Woche auch mit ein paar Experten gesprochen also Security Forschern und Leuten die eben ihr ganzes Leben mit IT-Sicherheit und mit Sicherheitslücken verbringen und die sagen dass sich auf der Verteidiger-Seite, also bei den Unternehmen die müssen einfach unheimlich viel schneller werden.
• 14:38
  Speaker 0: Es wird nicht darum gehen dass ich einmal im Monat meinen Patch Day habe und dann sage ich all meinen Mitarbeitern passt mal auf am Mittwoch morgen könnte es sein das ist ein bisschen knirscht und dass euer PC nicht so funktioniert wie gewohnt und dass die Server Umgebung nicht so funktioniert wie gewöhnt sondern... Das wird sich im Grunde verkürzen auf nahezu Echtzeit auf wenige Stunden.
• 14:58
  Speaker 0: Einmal am Tag so eine Petschstunde passiert, denn mit diesem einmal monatlich kommen wir längst nicht mehr hin.
• 15:05
  Speaker 0: Und wenn Softwarehersteller einmal im Monat einen Patchday ausrufen und sagen jetzt beheben wir Sicherheitslücken dann bedeutet das dass möglicherweise schwere Sicherheitslücken neunundzwanzig oder dreißig Tage vorher in den Betriebssystemen in der Software bekannt waren und nicht beruhen war.
• 15:19
  Speaker 0: und diese dreizig Tage das kann sich einfach es kann man sich nicht mehr leisten Denn die Angreifer kennen diese Sicherheits lücken in aller Regel gleichzeitig mit dem Verteidigen an.
• 15:27
  Speaker 0: Das
• 15:32
  Speaker 1: ist... wie schafft man das denn?
• 15:34
  Speaker 1: Also ich meine, da ist man ja sehr angewiesen darauf dass die Software-Unternehmen da schneller werden.
• 15:41
  Speaker 1: Angenommen!
• 15:42
  Speaker 1: Ich bin jetzt ein kleines mittelständisches Unternehmen und habe gar nicht so die IT-Manpower wie zum Beispiel Google.
• 15:51
  Speaker 1: Wie kann ich denn da noch irgendetwas erreichen, dass meine Daten meines Unternehmens trotzdem noch sicher sind?
• 16:01
  Speaker 0: Wenn ich das, wenn ich das wüsste dann würde ich vermutlich viel Geld mit Unternehmensberatung verdienen.
• 16:07
  Speaker 0: Ich glaube nicht dass im Moment jemand da eine allgemein gültige Antwort darauf weiß denn das ist eine... Verkürzung.
• 16:15
  Speaker 0: die vielen der Abläufe, die wir in der IT über Generationen und damit meine ich wirklich Menschengenerationen Nichts Computer-Generation das sind ja nur zwei Jahre eingeübt haben also gerade in diesen Bereichen wie sagen wir mal der der zentrale windows datai server in einem unternehmen.
• 16:35
  Speaker 0: da ist ja die absolute premisse.
• 16:37
  Speaker 0: Konservativ zu sein es muss laufen.
• 16:39
  Speaker 0: und da gibt es denn diesen alten sinnspruch never change a running system wenn's einmal läuft finger weg nicht mehr anfassen.
• 16:46
  Speaker 0: und dieser sinnspruch ist fundamental gegen diese änderung, die wir jetzt gerade in der Landschaft erleben dass die stehen sich diametral gegenüber.
• 16:56
  Speaker 0: das bedeutet nämlich ich kann nicht mehr Drei Wochen Zeit nehmen die Patches erstmal zu testen, bevor ich sie ausrolle denn dann würde das ja bedeuten dass ein angreifer möglicherweise.
• 17:05
  Speaker 0: Sieben wochen also fast zwei Monate Vorsprung vor dem Verteidiger hat.
• 17:08
  Speaker 0: Ich muss das am selben tag wenn die patches kommen Muss sich in der Lage sein diese patches in meinem Unternehmen einzuspielen und nicht nur ganz genau wissen was in meinem unternehmen läuft und was möglicherweise durch so eine update kaputt gehen kann.
• 17:21
  Speaker 0: dann muss ich eine ganz andere sichtbarkeit haben ganz andere kontrolle und ganz andere dokumentation meiner landen meine it-landschaft also meiner.
• 17:29
  Speaker 0: Systeme meiner software dieses ganzen so ist den unternehmen mit sich rum schleppen die mit IT zu tun haben und die auf IT ihre wertschöpfung aufbauen.
• 17:40
  Speaker 0: das wird, mit manuellen Prozesse nicht funktionieren, da müssen wir uns automatische Prozisse bauen.
• 17:45
  Speaker 0: Wir müssen also als Unternehmen muss man in der Lage sein so eine Art Stückliste zu haben wo alles an Software in allen Versionen die eingesetzt werden drauf steht.
• 17:54
  Speaker 0: und dann kann man automatisch zum Beispiel eine KI aber auch ein normales... ...automatisiertes System abhaken lassen.
• 18:01
  Speaker 0: Diese Software kann mit der anderen Software in der neuen Version nicht, sie sind nicht kompatibel, wir müssen uns da irgendwas ausdenken, aber das wird alles manuell nicht mehr gehen.
• 18:13
  Speaker 0: Dieser Flaschengeist, der ist ja aus der Flasche.
• 18:15
  Speaker 0: Das wird jetzt auch nicht mehr langsamer werden.
• 18:16
  Speaker 0: also es ist jetzt nicht so dass wir sagen okay haben das mit dem Kairi Zeugs mal ausprobiert und haben gemerkt, das macht ganz schön viel Arbeit.
• 18:23
  Speaker 0: Das lassen wir lieber bleiben weil die Angreifer den Teufel tun und den Flaschengeiss wieder zurück in die Flascher stopfen auf ihrer Seite.
• 18:29
  Speaker 0: Das heißt wir müssen mit dieser Kompression diesen Zusammenrücken der Zeiträume da müssen wir leben und dann müssen wir auch anfangen zu arbeiten und da sind nach meiner Wahrnehmung fast alle sehr, sehr schlecht darauf vorbereitet.
• 18:43
  Speaker 1: Ja das kann ich mir vorstellen!
• 18:45
  Speaker 1: Das ist ja ein Tempo mit dem normale Unternehmen gar nicht rechnen.
• 18:48
  Speaker 1: jetzt hast du schon gesagt KI kann dabei helfen.
• 18:51
  Speaker 1: gibt es Security also IT-Security Unternehmen die solche Tools anbieten schon aktiv?
• 18:58
  Speaker 0: Also es gibt unheimlich viele Unternehmen die so KI basiertes Scannen überprüfen auf Schochstellen anbietet.
• 19:05
  Speaker 0: Es gibt auch Unternehmen die beispielsweise eine KI Überprüfung von Quellcode anbieten, bevor er in die Software kommt.
• 19:13
  Speaker 0: Also beim Schreiben oder direkt nach dem Schreiben also dann zu überprüfen habe ich mir gerade durch diese Änderungen, die ich gerade an der Software durchgeführt habe am Quell Code hab' ich mir da irgendwelche Sicherheitslücken ins Haus geholt.
• 19:27
  Speaker 0: das ist eigentlich sogar ja der vielversprechendere Ansatz weil man da Bevor's schief geht schon eine Lösung finden kann und nicht erst wenn es schon schiefgeht.
• 19:35
  Speaker 0: Und bei ich weiß nicht wie vielen zehntausend Kunden gelandet ist und da gibt's also viele anbieter für die Anbietern, die oder Möglichkeiten mit KI Hilfe diese Sicherheitslücken dann auch zu beheben.
• 19:48
  Speaker 0: Die sind dünner gesät und zwar prinzipbedingt weil man einfach so einer KI ja nicht hundert prozent vertrauen kann hat immer neigt immerzu Halluzinationen.
• 19:57
  Speaker 0: sie is in dem Sinne also natürlich ist ihnen in Sinne der Informatik deterministisches System, aber sie fühlt sich halt teilweise zufällig also nicht deterministisch an und ich muss dann so ein bisschen ja immer überprüfen.
• 20:09
  Speaker 0: ist diese Sicherheits... dieser Sicherheits-Fix dieses Update das mir die AIDA vorschlägt wirklich eine Lösung für diese Sicherheizlücke.
• 20:19
  Speaker 0: Und da sind wir glaube ich noch relativ weit vorne.
• 20:22
  Speaker 0: finden geht beheben sind wir noch nicht soweit wie wir vielleicht sein sollten an dieser Stelle.
• 20:28
  Speaker 0: Das ist zumindest mein Eindruck von was KI mit Code so macht im Moment.
• 20:34
  Speaker 1: Das heißt, man sagt ja zur Zeit beobachtet man ja dass KI wahnsinnig viel Code schreiben kann und die klassischen Entwicklerinnen und Entwicklern nicht mehr ganz so viel Arbeit haben wie früher.
• 20:47
  Speaker 1: aber IT-Sicherheitsleute werden wahrscheinlich in jedem Unternehmen gebraucht werden oder?
• 20:57
  Speaker 0: Das hofft die Industrie sehr.
• 20:59
  Speaker 0: Viele Rollen verändern sich da auch gerade, also diese Triage genannte Erstbehandlung von IT-Sicherheitsprobleme und Sicherheitslücken wird sicherlich sehr stark von Menschen auf Maschinen übergehen.
• 21:14
  Speaker 0: Also auf KI, die eben guckt ist das wirklich eine Sicherheitslücke?
• 21:18
  Speaker 0: denn diese Überprüfung ob irgendein Problem eine Sicherheizlücke darstellt kann auch ohne große Schwierigkeiten von einer KI gemacht werden darf natürlich aber nicht von der gleichen gemacht werden, die die Lücke gefunden hat.
• 21:29
  Speaker 0: Das ist ja derjenige, der den Programmcode schreibt oder die Meldung macht.
• 21:35
  Speaker 0: er sollte nicht auch derjenig sein, der sich überprüft.
• 21:37
  Speaker 0: Aber diese Erstbehandlung da wird viel KI sein und Diese schiere Anzahl an irgendwelchen Warnungen, an Alarmen über mögliche Netzwerkeinbrüche oder sowas zu reduzieren und einzuordnen.
• 21:52
  Speaker 0: Da wird KI noch eine größere Rolle spielen.
• 21:54
  Speaker 0: aber für einen Experten der Code gut lesen kann also der versteht was da gerade passiert und der auch noch versteht ob da möglicherweise eine Sicherheitslücke unvollständig geschlossen wurde durch das KI-Modell dass er grade den Code neu schreibt Der wird auch weiterhin einen Job haben.
• 22:11
  Speaker 0: nur die Aufgaben werden, denke ich komplexer werden.
• 22:15
  Speaker 0: Also schwieriger.
• 22:17
  Speaker 0: Es wird nicht einfach nur Sachen sein, die man durch Bloßes hinschauen und einmal Augens zusammenkneifen sehen kann sondern das werden dann irgendwann einspruchsvollere Sachen werden.
• 22:26
  Speaker 0: Und IT-Sicherheitsforscher, die neue Arten von Sicherheitslücken entwickeln, die Neue Ideen haben wo sich Sicherheitslücken in Programmcode, in Netzwerken verbergen können Die werden auch weiterhin gefragt werden denn sie bringen ja diese Innovation nicht bringen kann.
• 22:45
  Speaker 1: Vielleicht noch mal zum Schluss so als einschätzendes Ding bei Mythos.
• 22:49
  Speaker 1: Meinst du es ist irgendwie gut für die Welt, dass Mythos nicht auf uns alle losgelassen wird?
• 22:54
  Speaker 1: Und meins macht eigentlich gar keinen großen Unterschied und im Prinzip sollten Unternehmen und Regierungen auch solche starken KI-Modelle Zugriff haben.
• 23:04
  Speaker 0: Also im Prinzip das ist immer ein schwieriger ein schwieriges Präfix für den Satz.
• 23:11
  Speaker 0: Im Prinzip wäre das gut, wenn alle darauf Zugriff hätten.
• 23:13
  Speaker 0: aber jetzt gerade zum aktuellen Zeitpunkt würde dass die Überlastung der IT-Sicherheitsverteidiger der Leute die Softwarelücken beheben der Open Source Teams weltweit nur noch viel weiter verstärken.
• 23:26
  Speaker 0: und wir sind da gerade schon an einem Punkt angekommen wo wir sehen dass Teams also zb auch das Linux Kernel Team sehr gut personell im vergleich aufgestellt ist absolut an ihre grenzen kommen und sagen so wir können jetzt diese diese flut an neuen fehler meldungen an neun sicherheitslücken oder möglichen sicherheits lücken gar nicht mehr.
• 23:46
  Speaker 0: das kommt da kommen wir gar nicht hinterher und wenn dann auch noch tausende zehntausende leute weltweit auf die idee kämen.
• 23:54
  Speaker 0: Ja, jetzt nehme ich auch noch mal Mythos her und jetzt melde ich die gleichen Lücken nochmal denn es gibt ja auch nur unüberschaubere zahl an du Blätten.
• 24:00
  Speaker 0: Die man auch erstmal finden muss oder rausfinden was das ist Du Blättern sind dann wäre das die Sicherheit nicht zuträglich denn das würde dazu führen dass alle Leute die weltweit IT Sicherheitsprobleme in Software beheben können in einen massiven Burnout laufen.
• 24:14
  Speaker 0: sofern finde ich diesen.
• 24:17
  Speaker 0: leicht beschränkten Zugang schon im Moment recht sinnvoll.
• 24:21
  Speaker 0: Das gilt aber eben auch für alle anderen Modelle und nicht nur für Mythos, die guter sind, Sicherheitslücken zu finden denn auch die tragen zu dieser Überlastung bei und... Die ist ja nicht leicht zu beheben.
• 24:32
  Speaker 0: diese Überlastungen das ist ja nichts damit getan dass du dann sagst so jetzt machen wir alles noch mit KI weil am Ende muss trotzdem nochmal ein Mensch drüber schauen.
• 24:43
  Speaker 1: Meinst Du, dass KI-Regulierungen in irgendeiner Weise da helfen könnte?
• 24:47
  Speaker 1: Dass diese Belastung abnimmt, indem man generell bestimmte Modelle weniger zugänglich macht?
• 24:55
  Speaker 0: Das hilft am Ende ja nur den Angreifern.
• 24:58
  Speaker 0: Weil die Regulierung nicht unterworfen sind.
• 25:02
  Speaker 0: Also dann gibt es irgendwelche Untergrundmodelle.
• 25:05
  Speaker 0: oder auch bei Entschloppig hat's schon Quellcode-Leaks gegeben.
• 25:09
  Speaker 0: Dann gibt irgendwann nochmal League der ganzen Trainingsdaten oder eines Teils der Trainingsdate und dann baut sich die Untergrundökonomie ihr eigenes Modell und ihre eigene KI.
• 25:20
  Speaker 0: Ich glaube, dass diese, das schon KI-Regulierung auf eine Art irgendwie kommen muss und wird.
• 25:25
  Speaker 0: aber ob uns das in der IT Security-Branche jetzt noch irgendwas bringt?
• 25:30
  Speaker 0: Da bin ich eher
• 25:30
  Speaker 0: skeptisch.".
• 25:32
  Speaker 1: Okay also es hilft nichts.
• 25:34
  Speaker 1: Unternehmen oder auch Privatleute müssen extrem auf ihre Sicherheit achten und da wahrscheinlich auch extrem investieren um einigermaßen mithalten zu können wenn man auch schon keinen Schritt voraus mit mir ist.
• 25:47
  Speaker 0: Ja, also die Zeit ist einmal im Monat den PC anschalten um Updates runterzuladen.
• 25:52
  Speaker 0: Die neigt sich rapide dem Ende zu und darauf müssen wir alle vorbereitet sein.
• 25:57
  Speaker 0: das wird dazu führen dass wir sehr viel mehr Update sehr viel häufiger machen werden um aktuell zu bleiben und keinen Angriffen ausgesetzt zu sein.
• 26:05
  Speaker 1: Alles klar Vielen Dank dass du heute da warst mit diesen etwas deponierenden Nachrichten.
• 26:10
  Speaker 1: aber vorbereitet seien wissen es ja immer besser als nicht wissen
• 26:13
  Speaker 0: Genau.
• 26:14
  Speaker 0: Zumindest wissen wir ziemlich genau und sehen sehr, sehr öffentlich was da auf uns zurollt und mal sehen welche Rezepte, welche Antworten die IT-Branche jetzt entwickelt.
• 26:26
  Speaker 0: denn das ist eine Herausforderung für die gesamte IT-branche nicht nur für Open Source, nicht nur Für die Linux Leute oder so sondern dass es eine Herausforderungen für die ganze Branche Und der wird sich auch die ganze branche auf einer oder die andere Art stellen müssen.
• 26:40
  Speaker 1: Alles klar Vielen Dank.
• 26:42
  Speaker 1: Wer noch mehr zu diesem Thema regelmäßig hören möchte, der kann eure Newsletter und deinen Podcast sich anhören?
• 26:50
  Speaker 1: Magst du einen kleinen Werbeblock machen?
• 26:52
  Speaker 0: Genau also.
• 26:53
  Speaker 0: ich bin ein Chorus zusammen mit dem CT-Redaktor Siresta Tremel des Podcasts Passwort.
• 26:58
  Speaker 0: den gibt es auf allen Plattformen wo ihr auch jetzt gerade zuhört und da machen wir alle zwei Wochen aktuelle Themen und auch mal längere Folgen zu sagen wir mal speziellen Security-Themen.
• 27:10
  Speaker 0: Und da könnt ihr gerne reinhören, wer sich professionell für IT Sicherheit interessiert und damit seinen Arbeitsalltag verbringt und mit uns gemeinsam diese Lösung entwickeln will von denen ich gerade gesprochen habe der sollte sich mal unseren Fachdienst Heises Security Pro anschauen.
• 27:27
  Speaker 0: Da ist man Teil einer Community kann sich gemeinsam weiterbilden und gemeinsam auch mit uns von der Heises security Redaktion diskutieren was diese ganzen Umwälzungen durch KI für Unternehmen bringen und wie sich Unternehmen darauf vorbereiten.
• 27:41
  Speaker 1: Super, werde ich alles in den Shownotes verlinken damit das Publikum da auch Zugriff drauf hat.
• 27:48
  Speaker 1: Prima!
• 27:49
  Speaker 1: Vielen Dank dass du da bist.
• 27:51
  Speaker 0: Danke dir Mach's gut Tschüss.
• 27:54
  Speaker 1: Das war es für heute.
• 27:56
  Speaker 1: Den nächsten Deep Dive hört ihr an dieser Stelle in zwei Wochen.
• 28:00
  Speaker 1: Es würde mich freuen wenn ihr dann wieder dabei seid.
• 28:02
  Speaker 1: Bis dahin könnt ihr natürlich mit unserem kompakten KI-Update jeden Montag, Mittwoch und Freitag auf dem Laufen im Bleiben.
• 28:10
  Speaker 1: Und falls Ihr einen Deepdive verpasst habt, findet Ihr eine Sammlung aller Folgen auf heise.de.
• 28:16
  Speaker 0: slash
• 28:17
  Speaker 1: thema slash
• 28:18
  Speaker 0: ki
• 28:19
  Speaker 1: minus update.
• 28:20
  Speaker 1: Den Link findet Ihr auch in den Show Notes!