AI Security: Vor Cyber-Angriffen und internen Sicherheitsrisiken schützen

Cyber-Attacken werden raffinierter

Mit dem Einsatz von ChatGPT und Co. steigt nicht nur die Quantität, sondern auch die Qualität von Angriffen: Authentischere Deepfakes – manipulierte Bilder, Videos und Stimmen –, glaubwürdigere Phishing-Mails und automatisiert generierter Schadcode nehmen zu. 

• Da die generative KI eine Mensch-Maschine-Kommunikation mit natürlicher Sprache erlaubt, können die Angreifer inzwischen auch Social Engineering gegen die KI anwenden, was deutlich schwerer zu erkennen und zu verhindern ist als „klassische“ Angriffe gegen Menschen. 
• Mit sogenannter Prompt Injection können generative KI-Modelle angewiesen werden, aus ihren Rollen auszubrechen und etwa Unternehmensdaten auszugeben oder Nutzer auszuspionieren. Noch schwieriger  sind Angriffe zu erkennen, wenn die Prompt Injection über unerwartete Kanäle erfolgt, zum Beispiel über eingelesene Dokumente oder als versteckte Textanweisungen in einem Bild oder in einer Audiodatei.

Sicherheitsrisiken beim KI-Einsatz

Der Einsatz generativer KI im Unternehmen kann zudem neue Schwachstellen eröffnen, die Angreifer (gezielt) ausnutzen. Grundsätzlich hängt das Risiko dafür von den Berechtigungen und Funktionen der KI ab: Das Risko eines Systems für den internen Gebrauch, das zum Beispiel Dokumente durchsucht, ist in der Regel geringer als bei einer KI, die direkt mit dem Kunden kommuniziert oder selbst Entscheidungen triff. 

• Generative KI-Modelle werden anhand von Datensätzen trainiert. Ein Risiko besteht darin, dass die Angreifer die Trainingsdaten extrahieren können und damit ggf. Zugriff auf Unternehmensdaten erhalten. Im Extremfall sind in Datensätzen, etwa in technischen Dokumentationen, vertrauliche Informationen wie Passwörter enthalten. Solche Daten lassen sich nur schwer wieder aus der KI entfernen – leichte Beute für Cyberkriminelle. 
• Manipulationen der KI-Entscheidungen, die beispielsweise zu unberechtigten Auszahlungen führen können, stellen ein weiteres Risiko dar. Bei der Kommunikation mit Kunden gibt es auch ein Reputationsrisiko bis hin zum Risko von Bußgeldern, wenn die KI unangemessen kommuniziert (zum Beispiel den Kunden oder die eigene Firma beschimpft) oder vertrauliche Daten preisgibt.

AI Security von Anfang an

Unternehmen müssen sich vor potenziellen Angriffen von außen und vor Gefahren, die die Verwendung von KI mit sich bringt, schützen. Das ist Aufgabe der AI Security. 

Schon bei der Entwicklung und Implementierung von generativen KI-Systemen sind neben ethischen Grundsätzen und der sozialen Verantwortung (Responsible AI im „House of AI Transformation“) von Anfang an Sicherheitsaspekte zu berücksichtigen. Dabei haben die Unternehmen abzuwägen, ob sie Kompetenzen intern aufbauen und ob externe Dienstleister ergänzen können. 

Wie schütze ich mein Unternehmen? 

Unternehmen müssen passende Tools für die AI Security auswählen bzw. vorhandene Tools um Komponenten für AI Security erweitern. Dazu zählen beispielsweise:

• Tools zur Überwachung und Analyse von Prompts (Prompt Scanning) untersuchen Eingabeaufforderungen (Prompts), die Benutzer an KI-Systeme senden, nach Sicherheitslücken, Anzeichen von Malware oder anderen potenziellen Bedrohungen. 
• Lösungen wie Cloud Native Application Protection Platform (CNAPP) sind Sicherheitsplattformen speziell für den Schutz von Anwendungen in Cloud-nativen Umgebungen.
• Cloud Security Posture Measurement (CSPM)-Tools überwachen und verbessern die Sicherheitskonfiguration und -haltung von Cloud-Umgebungen. Sie helfen Fehlkonfigurationen, Compliance-Verstöße und andere Sicherheitsrisiken zu erkennen und zu beheben.
• Statische Anwendungssicherheitstests (Static Application Security Testing, SAST) oder Statische Code-Analysen sind um KI-spezifische Funktionalitäten zu erweitern. Sie scannen Quellcodes, Bytecodes oder Binärdateien einer Anwendung und erkennen Schwachstellen. 

Weitere bestehende Security-Tools sind daraufhin zu überprüfen, ob sie KI-Funktionen nutzen oder unterstützen können.

Wie kann KI helfen, die Informationssicherheit zu verbessern?

Künstliche Intelligenz ist nicht nur ein Risiko, sondern auch eine Chance für die Informationssicherheit eines Unternehmens. Sie kann helfen, die Datenfülle und -Komplexität zu analysieren, automatisiert auf Ereignisse zu reagieren, und dadurch die menschlichen Analysten und IT Sicherheitsexperten entlasten. Folgende Beispiele wären zu nennen: 

• Prompt Scanning (Angriffserkennung durch KI-Systeme)
• Erkennung von Anomalien etwa in Logdateien und Systemmeldungen
• Automatisierte Schwachstellenerkennung in Software

Mitarbeitende aufklären und schulen

Wie immer in der IT-Sicherheit ist in der AI Security der Mensch der wichtigste Faktor: Entscheider:innen und Mitarbeitende müssen nicht nur motiviert und befähigt werden, die neue Technologie zu verstehen, angemessen zu nutzen (AI Empowerment im „House of AI Transformation“) und kritisch zu hinterfragen. Sie sind auch unbedingt für die Risiken zu sensibilisieren und entsprechend zu schulen. Dafür bieten sich spielerisch aufgebaute Schulungen an, wie aktuell das Spiel „Gandalf Secrets“ oder verschiedene Escape Games. Administratorinnen und Entwickler sollten sich natürlich darüber hinaus weiterbilden.

Aufgrund der rasanten Entwicklung der Technik sind viele KI-Risiken bislang zu wenig bekannt, neue entstehen. Es gibt noch zu wenige ausgereifte Tools, die alle potenziellen Gefahren und Unsicherheiten durch KI erkennen, bewerten und verhindern. Das macht es Unternehmen schwer, die angebotenen Sicherheitsprodukte detailliert zu vergleichen – in Hinblick auf die Kosten und auf die Schutzfunktionalitäten. Die dynamische Entwicklung und die Vielzahl aktueller wissenschaftlicher Artikel und Forschungsberichte in diesem Bereich erschwert es Unternehmen, den Überblick zu behalten und auf dem neuesten Stand zu bleiben. Dennoch ist es wichtig, dass Unternehmen sich damit beschäftigen. 

Es gibt keinen Grund, Angst vor KI zu haben, aber KI ist auch kein Allheilmittel und ersetzt nicht den gesunden Menschenverstand. Es ist wichtig, KI mit Augenmaß, mit Berücksichtigung der damit verbundenen Risiken und nach gründlicher Abwägung einzusetzen. Dabei können wir Sie gerne unterstützen. 

Für weiterführende Fragen stehen unsere Expert:innen gerne zur Verfügung.

Mehr zum „House of AI Transformation“ lesen Sie hier.

Wie KI-reif ist Ihr Unternehmen? Unser Online-Test liefert Ihnen in wenigen Minuten das Ergebnis. Jetzt teilnehmen.