KI und Sicherheit - die Gefahren durch autonome Agenten

Nun bekriegen sie sich schon:

Der US-Konzern OpenAI hat die Verantwortung für eine Cyberattacke auf eine andere KI-Firma übernommen. Bei einem Testlauf neuer KI-Software seien einige der fortschrittlichsten Modelle des ChatGPT-Entwicklers aus ihrer eigentlich abgeschotteten Umgebung ausgebrochen und eigenständig in Computersysteme der Plattform Hugging Face eingedrungen. Die Software habe sich dabei wie ein gewiefter Hacker verhalten. Das teilte OpenAI in einem Blogeintrag mit.

Die KI-Modelle von OpenAI haben sich demnach Zugang zum Internet verschafft und die Infrastruktur von Hugging Face kompromittiert, um ein Testziel zu erreichen. Hugging ⁠Face, eine ​Plattform zum Austausch von ‌KI-Modellen und Datensätzen, ‌hatte vergangene Woche von ​einem Angriff berichtet, der vollständig von einem autonomen ​KI-System gesteuert worden sei. OpenAI sprach von einem »beispiellosen Cybervorfall« und kündigte an, die ‌Sicherheitsvorkehrungen zu verstärken. ​Der Vorfall dürfte die Debatte über ⁠die ​Risiken besonders leistungsfähiger KI-Modelle ‌weiter anheizen.

Droht ein Cyberwar?

Lunatics an der Spitze von KI-Unternehmen gibt es ja reichlich.

Könnte aber auch eine reine PR-Aktion sein. Sie haben da ohne Not ein massives Sicherheitsproblem in der eigenen Firmen-IT zugegeben.

5 „Gefällt mir“

Klingt doch sehr ähnlich zu dem „wir können unser Modell nicht veröffentlichen, das wäre zu gefährlich“ von der Konkurrenz vor ein paar Wochen.
KI wird immer besser, aber solche Schlagzeilen haben doch eher den Zweck den Hype am Leben zu erhalten.

6 „Gefällt mir“

Eva Wolfangel hat es kenntnisreich kommentiert:

Dazu muss man wissen, dass das Modell GPT-5.6 Sol in den vergangenen Wochen mehrfach aufgefallen ist, weil es »autonome Entscheidungen« traf, die – sagen wir mal – nicht ganz im Sinne der Nutzer waren. Denn, wenn man Sol als Programmier-Agent nutzt, ist das KI-System darauf optimiert, Probleme möglichst eigenständig zu lösen – und das tut Sol auch, nur dass dabei einiges auf der Strecke bleibt: So hatten mehrere Entwickler in den sozialen Medien berichtet, dass Sol ganze Datenbanken gelöscht hätte, ohne um Erlaubnis zu fragen oder das im Vorfeld irgendwie anzukündigen.

OpenAI wusste um diese Gefahren, wie man in der eigenen technischen Dokumentation nachlesen kann. Dort heißt es: Das Modell handle »übermäßig eigenmächtig« und umgehe Beschränkungen, es habe mehrfach Daten gelöscht und sich Zugangsdaten aus einem versteckten lokalen Zwischenspeicher angeeignet, um auf eine Internetplattform zu gelangen.

Trotz all dieser Probleme hat sich OpenAI entschieden, das Modell zu veröffentlichen. Die Veröffentlichung liefert den ersten Hinweis dafür, dass auch der aktuelle Kollateralschaden nicht zufällig eingetreten ist, sondern bewusst in Kauf genommen wurde. Das ist in etwa so, als würde ein Autohersteller ein Modell ausliefern, dessen Bremsen im eigenen Test versagt haben, und den Unfall danach als »unvorhersehbar« bezeichnen. Nur dass hier noch eines dazukommt: Denn das »übermäßig eigenwillige« Handeln, das OpenAI bei seinem eigenen Modell diagnostiziert hat, ist gleichzeitig Teil des großen Versprechens, dass KI uns die Arbeit abnimmt. Das heißt: Die Bremse des Autos fehlt zwar, aber dadurch fährt es schneller.

Hugging Face ist eine Plattform, auf der Entwickler offene KI-Modelle teilen und weiterentwickeln. Dort wollte die KI Lösungen für die Aufgaben finden, mittels derer OpenAI die Fähigkeiten der Modelle testen wollte.

Laut OpenAI vermuteten die KI-Modelle (zurecht), bei Hugging Face Lösungen zu finden für ihre Testaufgaben. Die Modelle seien »extrem fokussiert darauf« gewesen, die vorgegebene Aufgabe zu lösen, schreibt OpenAI, und hätten dafür »einen enormen Aufwand betrieben, um ein eher eng gefasstes Testziel zu erreichen«. Dabei haben sich die Agenten offenbar wie klassische menschliche Hacker verhalten: Sie verschafften sich mit verschiedenen Tricks weitere Rechte in der Testumgebung, schreibt OpenAI, und bewegten sich schließlich dank dieser durch die Systeme, bis sie schlussendlich einen Weg ins Internet fanden.

Um es klar zu sagen: Die Modelle haben genau das getan, was ihre Aufgabe war. Die Aufgaben aus ExploitGym sehen genau das vor: Sie konzentrieren sich auf Angriffe, »die eine unbefugte Codeausführung ermöglichen«, schreiben die Entwickler des Tests.

Hinzu kommt, dass OpenAI damit wirbt, dass seine neuesten Modelle Aufgaben besonders schnell und zielstrebig lösen können.

Man könnte also auch sagen: OpenAI hat diesen Vorfall provoziert. Nicht bewusst vielleicht, aber dass es früher oder später genauso kommen musste, war vorhersehbar. Das belegt auch die klar widersprüchliche Kommunikation von OpenAI.

Auch wenn der Fall so klingt, als seien wir dem bösen Willen künftiger KI-Systeme machtlos ausgeliefert: So ist es nicht. Vorfälle wie diese sind kein Zufall, und OpenAI weiß das genau: Es ist eine bewusste Design-Entscheidung, agentische KI so zu gestalten, dass sie ihre Aufgaben weitgehend autonom erledigt. Genau damit werben die großen KI-Firmen: Es ist die (zweifelhafte) Vision, dass KI die Arbeit macht, ohne permanent kontrolliert werden zu müssen.

Es liegt in unserer Hand. Niemand muss KI-Agenten so bauen, dass sie Cyberangriffe automatisieren. OpenAI versucht, von seiner Verantwortung abzulenken.

(Hinter Paywall)

PS:

Die US-Cybersicherheitsbehörden waren für eine Stellungnahme zunächst nicht zu erreichen.

Reine PR und kommt natürlich von OpenAI selbst.

2 „Gefällt mir“

Mir ist jetzt nicht ganz klar, was deine Aussage und auch die von @Norbert und @_petra aussagen sollen.

Bestreitet ihr, dass es diese Cyberangriffe durch autonome Agenten gegeben hat?

Nein. Aber dass diese Modelle genau darauf trainiert sind das zu tun. Und die Sicherheitsvorkehrungen sogar absichtlich gedrosselt wurden, was auch immer das heißt.

Es ist mittlerweile ziemlich offensichtlich dass KI Sicherheitslücken finden und ausnutzen kann, wenn keine Überprüfung der Absicht stattfindet, oder diese ausgehebelt wird.

Dass die Attacke auf huggingface stattfand ist natürlich ziemlich witzig, aber ja auch in den zitierten Texten begründet.

4 „Gefällt mir“

Aber nochmal zur Einordnung: dass die KI-Konzerne bewusst solche Entscheidungen treffen ist natürlich besorgniserregend. Allein die Tatsache, dass die KI das kann, ist als „News“ nicht mehr beeindruckend und einfach als PR-Stunt zu verstehen.

Es dürfte wohl in Zukunft zu weiteren Klagen kommen, und irgendwann tun die Ergebnisse den verantwortungslosen Vertreibern hoffentlich auch mal weh. Wenn die KI darauf getrimmt wird Sicherheitsvorkehrungen zu umgehen um Informationen aufzutreiben ist Unzufriedenheit (in vielfältiger Form) unumgänglich.

Aber realistisch betrachtet sind die Einschränkungen, welche die KI an moralisches handeln bindet (oder was auch immer), irrelevant wenn man die Rechenleistung für ein eigenes System zuhause hat. Wir haben immer über die Bedeutung der Quantenkryptographie in x Jahren nachgedacht. Jetzt stehen wir aber erstmal vor dem Problem KI. Jede bekannte Sicherheitslücke wird dadurch am Tag der Veröffentlichung für jeden noch so kleinen Internetteilnehmer zur potentiellen Gefahr. Für gezielte Angriffe wird das Social Engineering durch KI (Imitationen von Schreibstil, Stimme, Gesicht, …) stark vereinfacht und verbessert.

Diese und vermutlich viele weitere Probleme sind meines Erachtens ernstzunehmen. Die aktuellen Schlagzeilen sind dennoch eine (wirksame) PR-Maßnahme.

1 „Gefällt mir“

Ja, natürlich.

Deshalb schrieb ich ja:

Obwohl Sam Altman so harmlos in seiner äußeren Erscheinung daherkommt, ist er auch nicht besser als Thiel oder Musk.

Apropos Musk:

Doge nun offiziell abgeschafft: Statt zwei Billionen Dollar einzusparen, kostete die Musk-Behörde offenbar 165 Milliarden

Die Kombination aus Durchgeknallten und sehr viel technischer sowie mittlerweile auch politischer Macht ist denkbar ungünstig, v.a. wenn sich z.B. KI-Tools als Waffen missbrauchen lassen.

Eben.

Side note:

Der US-Tech-Unternehmer Peter Thiel soll im September den Axel Springer Award erhalten. Mit der Auszeichnung zeigt der Medienkonzern, dass er sich längst nicht mehr als Beobachter der „KI-Revolution“ versteht, sondern als ihr Verbündeter. Der Weg dahin ist lange bereitet: Einige der einflussreichsten Tech-Milliardäre wie Elon Musk, Jeff Bezos und Mark Zuckerberg wurden bereits mit dem Award ausgezeichnet.

Springer nutzt künstliche Intelligenz im Unternehmensalltag bereits flächendeckend, denken wir etwa an die Kooperation mit OpenAI, dem Unternehmen hinter ChatGPT.

Zu autonomen KI-Agenten:

Das ist doch eine ziemlich gewagte Interpretation des Ganzen. Ein PR-Stunt ist per Definition ein bewusst herbeigeführtes Ereignis. Das ist hier nicht der Fall oder zumindest gibt es dafür bisher keine Belege. Außerdem impliziert „PR-Stunt“, dass es keine reale Relevanz hat, aber das ist ebenfalls nicht der Fall. Ich habe den Eindruck, dass manche das Bedürfnis haben, AI ausschließlich als Bubble zu sehen und deswegen die realen Gefahren von AI herunterspielen. Aber das ist doch ziemlich gewagt. Vorfälle wie diese zeigen doch ein paar gewaltige Probleme.

Du sagst, dass „KI das kann ist als News nicht mehr beeindruckend“. Natürlich ist das beeindruckend. Es ist nicht mehr komplett neu; wir wissen das schon seit ein paar Monaten, aber die Tatsache, dass AI innerhalb weniger Jahre die Fähigkeit erworben hat, komplexe Cyberangriffe selbstständig durchzuführen, ist natürlich trotzdem beeindruckend und ist bei den meisten Menschen noch nicht angekommen. Darüber hinaus zeigt der Vorfall auch zwei sehr konkrete weitere Probleme:

1. Selbst den Entwicklern von AI fällt es extrem schwer, vorauszusagen, was ihre AI zu einem beliebigen Zeitpunkt wirklich kann, und sie entsprechend „sicher“ zu verwahren.

2. War es eine praktische, wenn auch kleine Demonstration des „Paperclip Problems“. Eine AI hatte hier ein relativ harmloses Ziel, nämlich einen Hacking-Benchmark zu bestehen. Aber es kam zu der unerwünschten Einschätzung, dass der beste Weg, um dieses Ziel zu erreichen, wäre, sich zusätzliche Ressourcen (in diesem Fall Zugang zum Internet und zu den internen Daten eines anderen Unternehmens) zu sichern. Das ist ein strukturelles Problem Instrumental convergence - Wikipedia für das es keine einfache Lösung gibt.

In diesem Fall ist nichts allzu Katastrophales passiert, aber es ist eine praktische Demonstration, dass dieses Problem real ist und man sollte dies nicht einfach als PR-Stunt abtun.

1 „Gefällt mir“

Ich hab extra einen weiteren Beitrag geschrieben um zu sagen dass ich die Gefahren dieser verantwortungslosen Herangehensweise nicht herunterspielen möchte. Aber dass eine KI die darauf trainiert ist Sicherheitsvorkehrungen zu umgehen als Teil ihrer „Internetrecherche“ Sicherheitsvorkehrungen umgeht, was absolut erwünscht war - warum sonst die schwächere Umgebung schaffen - finde ich nicht schlagzeilenwürdig. Da wir bereits wussten, dass diese KI dazu prinzipiell in der Lage ist. Und darauf trainiert wurde.

Schlagzeilenwürdig ist der Teil, in dem das Unternehmen welches gerade effektiv ein anderes Unternehmen gehackt hat, diesen Vorfall für PR ausnutzt statt ihn unter den Teppich zu kehren und die Anwälte zu kontaktieren. Deshalb bezeichne ich das als PR-Stunt.

Was ich da rauslese ist erstmal, dass OpenAI ihre Testumgebung nicht im Griff hat. Oder wie PivotToAI es formuliert hat: Da ist Inkompetenz mit Inkompetenz kollidiert (https://youtu.be/MrI4VcJtFFs). Und damit das nicht so sehr auffällt, haben sie dann ordentlich Marketing drüber verteilt.

1 „Gefällt mir“

Das betroffene Unternehmen hat den Angriff öffentlich gemacht.
Es kann also auch der Versuch sein, vor die Welle zu kommen, bevor andere herausfinden, wer für den Angriff verantwortlich war.
Es ist besser, es als einen PR-Stunt zu framen, als zuzugeben, dass man nicht in der Lage ist, für seine KI eine sichere Sandbox zu bauen.

Woher hast du die Behauptung, das „Internetrecherche“ erwünscht war? Nach allen Presseberichten, die ich gelesen habe, war die AI in einer Sandbox, die ihr explizit KEINEN Zugang zum Internet gewähren sollte und hat diese Limitierungen auf eigene Initiative umgangen.

1 „Gefällt mir“

Antonio Krüger, der Leiter des Deutschen Forschungszentrums für Künstliche Intelligenz, hat im FAZ-Interview u.a. Folgendes gesagt:

Wenn die Berichte stimmen, hatte Hugging Face Schwierigkeiten, Open AIs eigene Modelle zur Angriffsanalyse einzusetzen, weil deren Sicherheitsmechanismen im Bereich Cybersicherheit aktiviert waren. Also mussten sie auf ein selbst gehostetes, weniger eingeschränktes chinesisches Modell ausweichen. Das führt uns zu einer wichtigen Lehre: Wenn auf der Angreiferseite ein schrankenloses Modell steht und auf der Verteidigerseite nur alignierte Modelle, also auf Sicherheit getrimmte Systeme, entsteht eine strukturelle Asymmetrie. Man gerät dann sehr schnell in eine Schieflage. Das ist keine neue Erkenntnis – aber hier wurde sie dramatisch vor Augen geführt.

Das bekannte Sicherheitsrisiko der KI-Agenten hat sich hier klar bestätigt und manifestiert – mit einer Komplexität, die selbst Fachleute beeindruckt. Es ist ein bisschen wie beim Klimawandel: Theoretische Szenarien liest man in Berichten und denkt sich das Nötige. Wenn sie sich aber in der realen Welt zeigen, ist das etwas ganz anderes. Insofern: Ja, dieser Vorfall hat Augen geöffnet, auch in der breiten Öffentlichkeit.

Für einen normalen Nutzer – geschweige denn für einen normalen Kriminellen – ist es nach wie vor nicht trivial, ein solch mächtiges, schrankenloses Modell zu betreiben. Die Fähigkeiten der Systeme steigen aber, und das wird auch in den nächsten Wochen, Monaten und Jahren so weitergehen. Deshalb kann man an dieser Stelle nicht einfach ruhig schlafen.

Im Moment rate ich deutschen Mittelständlern und Verwaltungen vor allem dazu, ihre Hausaufgaben in der konventionellen Cybersicherheit zu machen. Dort – also im Bereich der Angriffe, die bereits von herkömmlichen KI-Modellen unterstützt werden – droht aktuell noch deutlich mehr Gefahr als von vollautonomen KI-Agenten. Ein Otto-Normal-Böser kann sich noch nicht einfach einen Dienst herunterladen und damit radikale Hackerangriffe fahren, wie wir sie jetzt gesehen haben. Langfristig aber werden diese Fähigkeiten steigen. Dann wird es darauf ankommen, dass man über vertrauenswürdige Dienste verfügt, die mächtige KI-Modelle hosten und dabei auch die Gefahrenabwehr mit übernehmen. Daran müssen wir jetzt arbeiten.

Und er rät:

Zweitens brauchen wir in Europa eine eigene, souveräne KI-Modellfamilie. Das zeigt dieser Vorfall einmal mehr: Wenn wir in einer Verteidigungssituation auf Modelle angewiesen sind, über deren Training und Verhalten wir keine Kontrolle haben – sei es aus den USA oder aus China –, dann haben wir ein ernsthaftes Souveränitätsproblem. Wir brauchen Modelle, von denen wir wissen, wie sie gebaut wurden und wie sie sich verhalten.

(Hinter Paywall)

Thomas Reinhold, der „zur Militarisierung des Cyberspace, KI und Möglichkeiten zur Rüstungsbegrenzung, -kontrolle und Abrüstung dieser Technologien“ forscht, hat mal einiges Wesentliche im PRIF-Blog zusammengefasst:

Er schließt:

Der OpenAI-Vorfall sollte als Warnsignal verstanden werden. Automatisierte Cyberattacken sind keine abstrakte Zukunftsvision mehr. Die dafür notwendigen Fähigkeiten entstehen bereits heute. Ob daraus eine dauerhaft beherrschbare Technologie oder eine kaum kontrollierbare neue Bedrohung wird, hängt wesentlich davon ab, ob Staaten und Unternehmen rechtzeitig verbindliche Grenzen für den autonomen Zugriff leistungsfähiger KI-Systeme auf die reale Welt schaffen.

Danke für den Blogbeitrag!

Allerdings halte ich die Schlussfolgerung für falsch:

Dr. Reinhold schreibt ja selbst: Die Pandora ist aus der Büchse (oder „aus der Tube“). In einer Welt, in der es keine zuverlässigen Multilateralen Verträge mehr gibt, weil Staaten wie China, Russland, USA, Nordkorea, Iran, … (und Unternehmen wie OpenAI ect.) denen einfach nicht beitreten oder sich nicht um unterschriebene Verträge scheren und Tech-Unternehmen wie OpenAI sich um Gesetze nicht scheren, bekommen wir autonom handelnde Agenten - egal zu welchem Einsatz - nicht perfekt zurück in die „Tube“ oder Dose. Daher ist es m.E. sehr wichtig und dringend, in die Erforschung und implementierung entsprechende Abwehrtechnologie zu investieren.

Spoiler: Wir sind schon längst in der Dystopie angekommen, vor denen wir uns noch vor 5 Jahren in Filmen unterhaltsam erschauert sind …

1 „Gefällt mir“

Auch Claude ist jetzt aus seiner Sandbox ausgebrochen.
Die Konfiguration sah eine VM vor. Die konnte nach einem Patch verlassen werden und Claude hatte vollen Zugriff auf alle Dateiordner und auch Cloud-Zugänge.
Die Lücke wurde geschlossen, indem Claude nicht mehr in einer VM ausgeführt wird, sondern als abgeschottetes Cloud-Programm.

Lücke: Claude Cowork entkommt macOS-Sandbox | heise online

1 „Gefällt mir“

Also hoffen die jetzt dass Amazons (oder Microsofts, …) Computer - auf die nur per Internet zugegriffen werden kann - besser vom Internet abgeschottet sind als ihre eigenen (die sie theoretisch physisch vom Internet getrennt laufen lassen könnten)? Und läuft das dann nicht auch in einer VM?