Die positive Entwicklung im Bereich der künstlichen Intelligenz ist eines der Top Themen, welches unsere Welt heute und auch in der Zukunft stark beschäftigen und wandeln wird. Doch KI hat auch ihre tiefen Schattenseiten. Identity und Access Management (IAM) kann einen positiven Beitrag zur Risikominderung in der IT- und Informationssicherheit gegen «Cyberangriffe durch KI» leisten.
Haben sie die Kunstwerke gesehen, die Dall.E2 lediglich auf verbale Anfragen hin mit ein paar Angaben über die Vorstellung von einem Bild hergezaubert hat?
Oder, haben sie sich einmal mit GPT-3 unterhalten und festgestellt, dass sich GPT-3 wunderbar und je nach Stimmung poetisch unterhalten kann? Zuletzt lieferte GPT-3 eine selbstständige Beschreibung seines selbst: Es konnte sich selbst erklären!
Dall.E2 z.B., hat die Beziehung zwischen Bildern und dem Text gelernt, der sie beschreibt. Es nutzt einen Prozess namens “Diffusion”, der mit einem Muster aus zufälligen Punkten beginnt und dieses Muster allmählich in Richtung eines Bildes verändert, wenn es bestimmte Aspekte dieses Bildes erkennt.
Google-Photos mit neuer KI und die künstliche “Mama” am Telefon
Google Photos nutzt die Gesichtserkennung, um zu sehen, mit wem Sie die meisten Fotos machen und mit wem Sie die meisten Bilder teilen, um vorzuschlagen, mit wem Sie Ihre Fotos teilen sollten. Sobald die KI die Personen auf Ihren Fotos erkennt und das Album erstellt, sendet sie ausserdem eine Einladung an die Personen auf dem Foto, damit sie ihre eigenen Bilder hinzufügen können.
Zudem kann Google mit seinem «Voice Clone» dank Unterstützung durch KI bereits mit lediglich 5 Sekunden zuhören jegliche Stimmen klonen, die sich allesamt täuschend echt anhören. Ist das die Mama, die da gerade anruft und fragt, ob ich zuhause sei?
Auch der neuste NZZ Beitrag «Künstliche Intelligenz in der Ukraine: So kämpfen Algorithmen im Krieg» zeigt, dass die KI längst schon in taktischer, aber auch operationeller Kriegsführung sowie Spionage bereits eine bedeutende Rolle gewonnen hat. So werden getarnte, feindliche Panzer durch «AI armed Drones» identifiziert oder Stimmen aus getarnten Telefongesprächen mithilfe der KI extrahiert.
Fakt ist, KI ist nicht mehr ein Begriff, den wir im Beruf oder privat einfach nur als ein Zauberwort nutzen, dessen technische Hintergründe, Algorithmen und Funktionsweisen wir als wissenschaftliche Magie bezeichnen müssen. Längst sind unzählige Quellen im Netz mit breitem Wissen vorhanden, die uns KI-Technologien erklären, z.B. die unterschiedlichen Modelle neuronaler Netze, die unterschiedlichen Arten maschinellen Lernens und wie diese schlussendlich mit den unterschiedlichen Modellen aggregieren, um das sogenannte künstliche Bewusstsein zu entwickeln.
Wer sind diese “Hacker” eigentlich
Die fortschreitende Forschung im Bereich der künstlichen Intelligenz und ihre bisherigen, uns bekannten Ergebnisse sind also nichts aussergewöhnliches mehr und es gibt kaum ein Tag, worin nicht über neue Entwicklungen und Erkenntnisse berichtet wird. Doch nicht nur gutes wird berichtet, sondern auch die Risiken und die Gefahren genannt sowie mögliche Szenarien werden ausgemalt, wenn die Technologie in «böse Hände» geraten sollte oder böse Absichten gehegt werden sollten. Zugegeben, auch ein harmlos erscheinendes DALL.E2 kann für böse Zwecke genutzt werden, ganz zu Schweigen über den Google Voice Clone.
Aber ist es demnach wirklich so, dass wir hinter all den raffinierten Hacker Angriffen aus jüngster Zeit uns nur Menschen oder kriminelle Gruppierungen von menschlichen Hackern vermuten dürfen? Wer kann uns garantieren, dass neue Sicherheitslücken nicht durch maschinelles Lernen bisheriger Schwachstellen und Exploit-Codes erkannt wurden? Wer kann mit Sicherheit sagen, dass erfolgreiche Phishing Angriffe, durch Sicherheitssysteme durchgleitende Mutationen diverser Ransomware nicht durch KI geschaffen wurden? Wer kann zu Hundert Prozent garantieren, dass Botnetze nicht ausschliesslich von Menschheit kontrolliert werden?
Die Antwort ist wie sie erahnen können: Niemand. Es gibt aktuell noch keine erprobten oder standardisierten Erkennungsmuster bzw. Verfahren für erfolgreiche Manipulationen aus diesem KI-Bereich. Zum Vergleich: Eugen Goostmann, eine virtuelle Computer Figur hatte es bereits 2014 geschafft den Turing Test zu bestehen. Inzwischen haben in den letzten Jahren grosse Technologieunternehmen wie Google, Facebook und OpenAI eine neue Klasse von Computerprogrammen entwickelt, die als “grosse Sprachmodelle” bekannt sind und deren Konversationsfähigkeiten weit über die rudimentären Chatbots von früher hinausgehen.
Ganzheitlich betrachtet haben wir heute ein weltweit derartig komplexes Computer-System, dass wir ohne weiteres Zutun unsere Erfindung gar nicht mehr selbst beherrschen können.
Heterogenes Identitätsmanagement macht es schwieriger Angriffe effektiv abzuwehren
Unterschiedlichste Applikationen, Systeme, Infrastrukturen, ihr Verbund, ihre Lokationen, ihr Betriebsmodell sowie Serviceart sind heute dermassen komplex geworden, dass das Thema Zugriffsverwaltung (Access Management) wichtiger denn je geworden ist. Mit dem technologischen Wandelt in Richtung Cloud Computing wurde der Bedarf an Access Management dahin gehend umso wichtiger, weil neben verteilter Systeme und Netze nun noch verteilte Architekturen, IT-Dienstleistungen (..as a Service Modelle) und unzählige Service-Schnittstellen daher kamen. Wie sollen sich denn Administratoren und Systemverantwortliche in der klassischen IT noch zurechtfinden, wenn sie neben diversen Domänen, mehreren Standorten, hunderten von Applikationen etc. die Prozesse im Bereich Benutzer und Berechtigung manuell abbilden müssen und es unzählige Berechtigungskonzepte existieren? Was tun, wenn diese im umgekehrten Fall gänzlich fehlen?
Ob KI oder Angriffe durch Menschen: Schwächen im Benutzer und Berechtigungsmanagement zentral stärken
Zugegeben, Identity Access Management Systeme haben es nicht als Kernaufgabe Hacker-Angriffe zu erkennen und aktiv oder passiv abzuwehren, doch sie sind ein erfolgreicher Beitrag dafür, gerade erhebliche Schwächen aus diesem Bereich zu eliminieren, welches oftmals für Schlagzeilen sorgt. Vergessene oder entwendete Benutzerkonten, die Grund für Datenpannen oder Datenabgriffe (Data Leakage) sind, manuelle HR-Prozesse, die in komplexen Applikationslandschaften den IT-Betrieb überlasten, fehlende oder schwer zusammenführbare Protokolle nach Sicherheitsereignissen oder einfach nur das Nicht-Erfüllen von Konformitätsanforderungen sind einige weniger Beispiele von vielen Problemen im Bereich Access Management. In der Zukunft werden jedoch solche oder ähnliche Schwächen durch sozusagen darauf abgerichtete KI-Systeme sich anhäufen, um die übersehenen, vergessenen oder versteckten Schwächen mit Kombinationen aus automatisierten technischen Analysen gepaart mit maschinellem «Social Engineering» auszunutzen.
Wie viele Applikationen und Systeme – seien sie OnPremise oder in der Cloud – müssen Sie täglich verwalten?
Es ist heute ohne ein vernünftiges Management kaum vorstellbar, dass es auf Anhieb bekannt ist, wie viele Applikationen mittlere bis grosse Betriebe täglich einsetzten. Denn oftmals liegt das Augenmerk auf Kernapplikationen eines Unternehmens. Der Rest wird, je nach Organisationsstruktur, heterogen verwaltet. Gerade diese Parzellen-Konstrukte bringen entsprechende Risiken mit sich.
Die Verwaltung des Benutzer- und Berechtigungswesens über die eigenen Grenzen hinaus mit standardisierten, als sicher geltenden Schnittstellen, Routinen zu Berechtigungs-Checks und Überwachungen sowie Rezertifizierungen, mit einheitlichen Zugriffsprotokollierungen sowie Monitoring- und Alarmierungsfähigkeiten ist risikotechnisch nicht nur wesentlich kalkulierbarer, sie vereinfachen und automatisieren zudem auch die Prozesse und ersparen zusätzliche Kosten, nicht zu denken an jene, die entstehen würden, nach dem Angreifer durch KI gestützte Tools und Methoden ihre Applikationen und Systeme übernommen haben.
Denken sie, dieser Gedanke sei utopisch? Dann denken sie z.B. bitte auch an die bis heute unzählig erfolgreichen Ransomware Angriffe. Das, ist nur der Anfang der noch entstehenden Möglichkeiten durch KI gestütztem “Hacking”, oder mehr fachlich ausgedrückt “KI gestützten Cyber Angriffen” 🙂