Aktuelles, Branche - geschrieben von dp am Mittwoch, Juli 26, 2023 20:34 - noch keine Kommentare
Code-Empfehlungen: Gefahr durch ChatGPT
Voyager18-Forschungsteam von Vulcan Cyber hat neue, auf ChatGPT basierende Angriffstechnik entdeckt
[datensicherheit.de, 26.07.2023] „Das ,Voyager18‘-Forschungsteam von Vulcan Cyber hat eine neue Angriffstechnik entdeckt, die auf ,ChatGPT’ basiert“, berichtet Melissa Bischoping, „Director Endpoint Security Research“ bei Tanium, in ihrer aktuellen Stellungnahme und warnt: Diese ermögliche es Angreifern, mit geringem Aufwand Zugriff auf Entwicklerumgebungen zu erlangen.
Foto: Tanium
Melissa Bischoping: ChatGPT und andere generative KI-Plattformen neigen dazu, Fragen mit künstlich kreierten Quellen, Links, Blogs und Statistiken zu beantworten
Voyager18 hat neue Angriffstechnik via ChatGPT AI-Paket-Halluzination genannt
„Voyager18“ hat demnach diese neue Technik „AI-Paket-Halluzination“ genannt. Diese beruht laut Bischoping auf der Tatsache, „dass ,ChatGPT’ und andere generative KI-Plattformen dazu neigen, Fragen mit künstlich kreierten Quellen, Links, Blogs und Statistiken zu beantworten“.
Es würden auch fragwürdige Korrekturen für „Common Vulnerabilities and Exposures“ (CVEs) generiert und Links zu Code-Bibliotheken angeboten, die nicht existierten. Bischoping erläutert: „Wenn ein Angreifer eine Empfehlung für ein unveröffentlichtes Paket findet, kann er sein eigenes Paket an dessen Stelle veröffentlichen.“ Anschließend könne er Supply-Chain-Angriffe ausführen, indem er bösartige Bibliotheken in bekannten Repositories bereitstellt.
Empfehlungen auch von ChatGPT bergen einige Gefahren
Unternehmen sollten deshalb niemals Codes herunterladen und ausführen, „den sie nicht gründlich überprüft oder getestet haben“, rät Bischoping. Gerade der Download aus einer nicht überprüften Quelle – wie Open-Source-Github-Repos oder jetzt Empfehlungen von „ChatGPT“ – berge einige Gefahren. „Jeder Code, der ausgeführt werden soll, muss auf Sicherheit geprüft werden.“ Außerdem empfehle es sich, private Kopien anzulegen.
Bischoping unterstreicht: „Importieren Sie Codes nicht direkt aus öffentlichen Repositories, wie sie in dem Beispielangriff von ,Voyager18‘ verwendet wurden.“ In diesem Fall hätten die Angreifer „ChatGPT“ als Übermittlungsmechanismus verwendet. Es sei jedoch nicht neu, dass die Lieferkette durch die Verwendung gemeinsam genutzter oder von Drittanbietern importierter Bibliotheken kompromittiert werde. „Diese Strategie wird auch weiterhin verwendet werden, und die beste Verteidigung besteht darin, sichere Kodierungspraktiken anzuwenden.“ Außerdem sollte insbesondere von Dritten entwickelter Code, der für die Verwendung in Produktionsumgebungen vorgesehen ist, gründlich getestet und überprüft werden. Abschließend legt Bischoping nahe: „Vertrauen Sie nicht blind jeder Bibliothek oder jedem Paket, das Sie im Internet (oder in einem Chat mit einer KI) finden!“
Aktuelles, Experten, Studien - Mai 17, 2024 13:31 - noch keine Kommentare
Digitaltag 2024 am 7. Juni: Bitkom als Partner sieht Handlungsbedarf
weitere Beiträge in Experten
- BKA Lagebild Cybercrime 2023 erschienen: Alarmierende Zunahme von Vorfällen
- Datenschutzkonferenz: Alexander Roßnagel übernimmt Vorsitz ab 16. Mai 2024
- Biometrische Überwachung: DAV kritisiert geplante Gesichtserkennung
- Nationale Zuständigkeiten für die KI-Verordnung: Datenschutzkonferenz fordert Aufsicht aus einer Hand
- DSK-Orientierungshilfe für Unternehmen und Behörden zum datenschutzkonformen KI-Einsatz
Aktuelles, Branche, Studien - Mai 17, 2024 13:47 - noch keine Kommentare
Cyber-Risiken: IT-Security-Verantwortliche scheitern oft an der Kommunikation mit der Obersten Leitung
weitere Beiträge in Branche
- BKA Lagebild Cybercrime 2023 erschienen: Alarmierende Zunahme von Vorfällen
- Ebury-Botnet: 400.000 Linux-Server weltweit infiziert
- NIS-2-Anforderungen: Konkrete Bedeutung der verschärften EU-Richtlinie
- E-Mail-Sicherheit: PSW GROUP rät, mit Zertifikaten die Kommunikation zu verschlüsseln
- Passkeys statt Passwörter – Passwörter nicht mehr zweckmäßig
Branche, Umfragen - Dez 21, 2020 21:46 - noch keine Kommentare
Threat Hunting: Bedeutung und Wertschätzung steigt
weitere Beiträge in Service
- Umfrage: 71 Prozent der IT-Entscheidungsträger besorgt über Mehrfachnutzung von Passwörtern
- Fast die Hälfte der Unternehmen ohne geeignete Sicherheitsrichtlinien für Remote-Arbeit
- Umfrage: Bedeutung der Konsolidierung von IT-Sicherheitslösungen
- TeleTrusT-Umfrage: „IT-Sicherheit im Home Office“
- Cybersicherheit: SANS-Studie zu Frauen in Führungspositionen
Kommentieren