ChatGPT und mehr: Was KI-Chatbots für die Zukunft der Cybersicherheit bedeuten

Von relativ einfachen Aufgaben wie dem Verfassen von E-Mails bis hin zu komplexeren Tätigkeiten wie dem Verfassen von Essays oder dem Erstellen von Code hat ChatGPT - das KI-gesteuerte Tool für die Verarbeitung natürlicher Sprache von OpenAI - seit seiner Einführung großes Interesse geweckt.

Es ist natürlich keineswegs perfekt - es ist bekannt, dass es Fehler macht und Informationen falsch interpretiert, aber viele sehen es und andere KI-Werkzeuge als die Zukunft, wie wir das Internet nutzen werden.

Die Nutzungsbedingungen von OpenAI für ChatGPT verbieten explizit die Erzeugung von Malware, einschließlich Ransomware, Keyloggern, Viren oder "anderer Software, die einen gewissen Schaden verursachen soll". Ebenso sind Spamversuche sowie Nutzungsfälle, die auf Cyberkriminalität abzielen, verboten.

Aber wie bei jeder innovativen Online-Technologie gibt es bereits Menschen, die experimentieren, wie sie ChatGPT für undurchsichtigere Zwecke nutzen könnten.

Nach dem Start dauerte es nicht lange, bis Cyberkriminelle in Untergrundforen Threads veröffentlichten, in denen sie besprachen, wie ChatGPT für bösartige Cyber-Aktivitäten genutzt werden kann. Dazu gehören das Schreiben von Phishing-Mails oder das Zusammenstellen von Malware.

Und es besteht die Befürchtung, dass Kriminelle versuchen werden, ChatGPT und andere KI-Werkzeuge wie Google Bard für ihre Zwecke zu nutzen. Obwohl diese KI-Werkzeuge Cyberangriffe nicht revolutionieren werden, könnten sie Cyberkriminellen trotzdem - auch unabsichtlich - helfen, bösartige Kampagnen effizienter durchzuführen.

"Ich glaube nicht, zumindest kurzfristig, dass ChatGPT völlig neue Arten von Angriffen schaffen wird. Der Schwerpunkt wird darauf liegen, die täglichen Abläufe kosteneffizienter zu gestalten", sagt Sergey Shykevich, Gruppenleiter für Bedrohungsanalyse bei Check Point, einem Cybersecurity-Unternehmen.

Außerdem: Was ist ChatGPT und warum ist es wichtig? Hier ist alles, was Sie wissen müssen

Phishing-Angriffe sind die häufigste Komponente von bösartigen Hacking- und Betrugs-Kampagnen. Ob Angreifer E-Mails zum Verteilen von Malware oder Phishing-Links versenden oder ob sie verwendet werden, um ein Opfer dazu zu überreden, Geld zu überweisen, E-Mails sind das zentrale Werkzeug für die anfängliche Manipulation.

Die Abhängigkeit von E-Mail bedeutet, dass Banden einen stetigen Strom klarer und verwendbarer Inhalte benötigen. In vielen Fällen - insbesondere bei Phishing - ist das Ziel des Angreifers, einen Menschen dazu zu bringen, etwas zu tun, wie zum Beispiel Geld zu überweisen. Glücklicherweise sind viele dieser Phishing-Versuche derzeit leicht als Spam zu erkennen. Aber ein effizienter automatisierter Textschreiber könnte diese E-Mails überzeugender machen.

Cyberkriminalität ist eine globale Industrie, bei der Kriminelle aus allen möglichen Ländern Phishing-E-Mails an potenzielle Ziele auf der ganzen Welt senden. Das bedeutet, dass Sprache ein Hindernis sein kann, insbesondere bei den ausgefeilteren Spear-Phishing-Kampagnen, die darauf abzielen, dass die Opfer glauben, mit einem vertrauenswürdigen Kontakt zu sprechen - und jemand wird es wahrscheinlich nicht glauben, dass er mit einem Kollegen spricht, wenn die E-Mails voll sind von ungewöhnlichen Rechtschreib- und Grammatikfehlern oder merkwürdiger Interpunktion.

Aber wenn KI richtig ausgenutzt wird, könnte ein Chatbot verwendet werden, um Texte für E-Mails in beliebiger Sprache zu verfassen, die der Angreifer möchte.

"Die große Hürde für russische Cyberkriminelle ist die Sprache - Englisch", sagt Shykevich. "Sie stellen jetzt Absolventen russischer Hochschulen ein, die Englisch studiert haben, um Phishing-E-Mails zu schreiben und in Callcentern zu arbeiten - und dafür müssen sie Geld bezahlen."

Er fügt hinzu: "So etwas wie ChatGPT kann ihnen viel Geld bei der Erstellung einer Vielzahl verschiedener Phishing-Nachrichten sparen. Es kann ihr Leben einfach verbessern. Ich denke, das ist der Weg, den sie suchen werden."

Theoretisch gibt es Schutzmaßnahmen, die dazu dienen, Missbrauch zu verhindern. Zum Beispiel erfordert ChatGPT von Benutzern die Registrierung einer E-Mail-Adresse und verlangt auch eine Telefonnummer zur Verifizierung der Registrierung.

Und obwohl ChatGPT sich weigern wird, Phishing-E-Mails zu schreiben, ist es möglich, es zu bitten, E-Mail-Vorlagen für andere Nachrichten zu erstellen, die von Cyberangreifern häufig ausgenutzt werden. Diese Bemühungen könnten Nachrichten umfassen, die behaupten, dass ein jährlicher Bonus angeboten wird, ein wichtiges Software-Update heruntergeladen und installiert werden muss oder dass ein angehängtes Dokument dringend geprüft werden muss.

"Das Verfassen einer E-Mail, um jemanden dazu zu überzeugen, auf einen Link zu klicken, um etwas wie eine Konferenzeinladung zu erhalten - das ist ziemlich gut, und wenn Sie kein Muttersprachler sind, sieht das sehr gut aus", sagt Adam Meyers, Senior Vice President of Intelligence bei Crowdstrike, einem Anbieter für Cybersicherheit und Bedrohungsinformationen.

"Sie können es dazu bringen, eine gut formulierte, grammatikalisch korrekte Einladung zu erstellen, die Sie als nicht Muttersprachler*in möglicherweise nicht erstellen könnten."

Aber den Missbrauch dieser Werkzeuge gibt es nicht nur bei E-Mails; Kriminelle könnten es verwenden, um Skript für jede textbasierte Online-Plattform zu schreiben. Für Angreifer, die Betrügereien durchführen, oder sogar für advanced Cyber-Bedrohungsgruppen, die Spionagekampagnen durchführen möchten, könnte dies ein nützliches Werkzeug sein - insbesondere zum Erstellen von gefälschten sozialen Profilen, um Leute anzulocken.

"Wenn Sie glaubwürdiges Unternehmens-Jargon für LinkedIn generieren möchten, um es so aussehen zu lassen, als wären Sie ein echter Geschäftsmann, der Kontakte knüpft, ist ChatGPT dafür großartig", sagt Kelly Shortridge, eine Cybersicherheitsexpertin und Senior Principal Product Technologist bei Cloud-Computing-Anbieter Fastly.

Verschiedene Hacking-Gruppen versuchen, LinkedIn und andere Social-Media-Plattformen als Werkzeuge für die Durchführung von Cyber-Spionage-Kampagnen zu nutzen. Aber das Erstellen gefälschter, aber echt aussehender Online-Profile - und das Füllen mit Beiträgen und Nachrichten - ist ein zeitaufwändiger Prozess.

Shortridge ist der Meinung, dass Angreifer KI-Tools wie ChatGPT verwenden könnten, um überzeugende Inhalte zu verfassen, während sie gleichzeitig den Vorteil haben, weniger arbeitsintensiv zu sein als manuelle Arbeit.

"Viele dieser Art von Social-Engineering-Kampagnen erfordern einen großen Aufwand, da man diese Profile einrichten muss", sagt sie und argumentiert, dass KI-Tools die Einstiegshürde erheblich senken könnten.

"Ich bin sicher, dass ChatGPT sehr überzeugend klingende Beiträge zur Führung von Gedanken schreiben könnte", sagt sie.

Die Natur der technologischen Innovation bedeutet, dass es immer Menschen geben wird, die versuchen, sie für böswillige Zwecke auszunutzen. Und auch mit den innovativsten Mitteln, um Missbrauch zu verhindern, werden die raffinierten Methoden von Cyberkriminellen und Betrügern wahrscheinlich Wege finden, Schutzmaßnahmen zu umgehen.

"Es gibt keine Möglichkeit, Missbrauch vollständig auf Null zu reduzieren. Das ist mit keinem System jemals geschehen", sagt Shykevich, der hofft, dass durch die Hervorhebung potenzieller Cybersicherheitsprobleme mehr Diskussionen darüber geführt werden, wie man verhindern kann, dass KI-Chatbots für fehlerhafte Zwecke ausgenutzt werden."

"Es ist eine großartige Technologie - aber wie bei jeder neuen Technologie gibt es Risiken und es ist wichtig, sie zu diskutieren, um sich ihrer bewusst zu sein. Und ich denke, je mehr wir diskutieren, desto wahrscheinlicher ist es, dass OpenAI und ähnliche Unternehmen mehr in die Reduzierung von Missbrauch investieren werden", schlägt er vor.

Es gibt auch einen Vorteil für die Cyber-Sicherheit bei KI-Chatbots, wie ChatGPT. Sie sind besonders gut im Umgang mit und Verständnis von Code, daher besteht das Potenzial, sie einzusetzen, um Verteidigern bei der Erkennung von Malware zu helfen. Da sie auch Code schreiben können, ist es möglich, dass diese Tools Entwicklern bei ihren Projekten helfen, um besseren und sichereren Code schneller zu erstellen, was für alle gut ist.

Wie Forrester-Principal-Analyst Jeff Pollard neulich schrieb, könnte ChatGPT eine massive Reduzierung der Zeit ermöglichen, die für die Erstellung von Sicherheitsberichten benötigt wird.

"Schnelleres Umdrehen bedeutet mehr Zeit für die anderen Aufgaben - Testen, Beurteilen, Untersuchen und Reagieren, all das hilft den Sicherheitsteams, sich zu skalieren", stellt er fest und fügt hinzu, dass ein Bot auf Grundlage verfügbarer Daten nächstempfohlene Maßnahmen vorschlagen könnte.

"Wenn Sicherheitsorchestrierung, Automatisierung und Reaktion ordnungsgemäß eingerichtet sind, um die Wiederherstellung von Artefakten zu beschleunigen, könnte dies die Erkennung und Reaktion beschleunigen und Sicherheitsanalysten im [Sicherheitsbetriebszentrum] bei besseren Entscheidungen unterstützen", erklärt er.

Also könnten Chatbots das Leben für manche im Bereich der Cybersicherheit erschweren, aber es könnte auch positive Aspekte geben.

ZDNET hat OpenAI um einen Kommentar gebeten, jedoch keine Antwort erhalten. Dennoch hat ZDNET ChatGPT gefragt, welche Regeln es gibt, um Missbrauch für Phishing zu verhindern - und wir haben folgenden Text erhalten.

"Es ist wichtig zu beachten, dass KI-Sprachmodelle wie ChatGPT Text generieren können, der phishingähnlich ist. Sie können jedoch keine bösartigen Aktionen eigenständig durchführen und benötigen die Absicht und Handlungen eines Benutzers, um Schaden anzurichten. Daher ist es wichtig, dass Benutzer Vorsicht und gutes Urteilsvermögen walten lassen, wenn sie KI-Technologie verwenden, und wachsam sein, um sich vor Phishing und anderen schädlichen Aktivitäten zu schützen."