Die künstliche Intelligenz verändert die Wirtschaftlichkeit von Cyberangriffen

Die grundlegende Veränderung betrifft die Zeit, und konkret die Kosten, eine Organisation zu untersuchen.

Cyberkriminelle automatisieren seit Jahrzehnten einen Teil ihrer Tätigkeit. Lange vor dem Boom der künstlichen Intelligenz gab es bereits Werkzeuge, die das Internet durchsuchen konnten, um exponierte Server, verwundbare Produktversionen, falsch konfigurierte Dienste oder wiederverwendete Anmeldedaten zu finden. Kurz gesagt, ein Angreifer konnte einen Prozess gegen Tausende oder Millionen Systeme starten und auf Ergebnisse warten. Allerdings hatte diese Automatisierung Grenzen: Die Werkzeuge waren sehr wirksam, wenn sie genau wussten, wonach sie suchen mussten. Fanden sie eine bestimmte Softwareversion, eine sehr konkrete Konfiguration oder eine zuvor definierte Antwort, konnten sie fortfahren.

In allen anderen Fällen blieb das Opfer unbemerkt. Außerdem tauchte nach der Identifizierung potenzieller Opfer immer die Engstelle eines Vorgangs auf: der Mensch. Jemand musste die Ergebnisse überprüfen, die Verwundbarkeit bestätigen, verschiedene Informationsstücke verknüpfen und entscheiden, ob ein Angriff fortgesetzt werden konnte. Diese menschliche Zeit setzte dem Angreifer wirtschaftliche Grenzen. Zusammenfassend lässt sich sagen, dass die anfängliche Suche über Tausende von Unternehmen automatisiert werden konnte, aber nie alle mit derselben Tiefe untersucht werden konnten. Man musste Ziele priorisieren und entscheiden, wo sich der Einsatz von Arbeitsstunden lohnte.

Was hat sich nun geändert? Die künstliche Intelligenz automatisiert teilweise auch das Denken, das früher der Mensch anwandte. Mit der künstlichen Intelligenz passt sich das System kontinuierlich an, je nach den neu gesammelten Informationen über jedes Unternehmen, und testet Alternativen auf eine beharrliche und autonome Weise. Und die Grenze schreitet schnell voran.

Wir haben bereits Systeme gesehen, die einen Großteil der Phasen eines Angriffs verketten können und die auf praktisch vollständige, von künstlicher Intelligenz durchgeführte Operationen abzielen, wie im kürzlichen Fall JadePuffer. Andere kürzliche Vorfälle, wie der von OpenAI und Hugging Face, zeigen, dass die Rede von offensiven, autonomen Agenten im Internet nicht mehr nur zum Bereich der Spekulation gehört. Das bedeutet nicht, dass der autonome und weitverbreitete Cyberangriff heute die Norm ist. Was jedoch zweifellos beobachtbar ist, ist dass sich die Distanz verkürzt, und dass es deshalb interessant ist, unsere Organisation auf dieses neue Szenario vorzubereiten.

Im Moment lautet die Frage, wie viele zusätzliche Organisationen ein Krimineller nun mit denselben Ressourcen untersuchen kann wie zuvor. Wenn die detaillierte Analyse einer Organisation mehrere Stunden spezialisierte Arbeit erforderte, bestand ein Anreiz, diese Anstrengung auf bestimmte, besonders lohnende Ziele zu konzentrieren. Mit zunehmender Nutzung der künstlichen Intelligenz sinken die Kosten für die Aufnahme weiterer Unternehmen in die Liste, was die Idee verstärkt, dass jeder ein Ziel sein kann. Dieses Phänomen fällt mit der Tatsache zusammen, dass sich die Angriffsfläche von Unternehmen immer schneller verändert. Jede Woche tauchen neue Dienste, Anwendungen, Cloud-Umgebungen, Fernzugriffe, Benutzer und Lieferanten auf usw. Die künstliche Intelligenz selbst beschleunigt diese Prozesse, wenn sie beispielsweise in der Entwicklung eingesetzt wird.

Obwohl immer mehr Kriminelle mit dieser Kontinuität operieren, bewerten viele Unternehmen ihre Systeme weiterhin anhand von Schnappschüssen: eine jährliche Prüfung, eine regelmäßige Schwachstellenanalyse oder eine mit dem Besuch des Prüfers verbundene Überprüfung. Alle diese Übungen bringen Wert, aber sie bieten ein Bild eines konkreten Moments. Zwischen zwei Bewertungen ereignen sich Veränderungen, die unsere Exposition erheblich verändern. Die künstliche Intelligenz arbeitet nicht mit dieser Periodizität.

Ich wiederhole gerne, dass der Angreifer nur einmal richtig liegen muss, während der Verteidiger immer richtig liegen muss. Mit anderen Worten, die Bedingungen, unter denen beide Seiten operieren, sind asymmetrisch. Außerdem kann der Angreifer beobachten und warten, unsere Infrastruktur heute überprüfen und nach einer Woche angesichts eines neuen Fehlers, der sich auf uns auswirken könnte, zurückkehren. Wenn es ihm gelingt, einen wachsenden Teil dieser Beobachtung zu automatisieren, wird es ihm immer weniger kosten, sie über lange Zeiträume aufrechtzuerhalten. Die künstliche Intelligenz ermöglicht es jedem Kriminellen, sich dem Konzept der Advanced Persistent Threat immer weiter anzunähern.

Kontinuierliche Untersuchung der Organisation

In diesem Moment müssen wir eine Überlegung anstellen. Wenn jemand unsere Organisation kontinuierlich untersuchen kann, haben wir dann die Kapazität, uns selbst mit derselben Kontinuität zu untersuchen?

Ein Unternehmen kann trotz guter präventiver Kontrollen, Erkennung und Reaktion sowie erfahrener Fachleute blinde Flecken aufweisen. Das Team kann seine Arbeit gut machen, aber die Umgebung ändert sich ständig, und das erfordert Ressourcen, die oft nicht vorhanden sind. Wir verwalten seit Jahren Schwachstellen, indem wir implizit annahmen, dass eine Reaktionszeitfenster existierte. Ein Fehler wurde entdeckt, kommuniziert und technische Informationen erschienen. Die Sicherheitsteams bewerteten ihre Exposition, priorisierten die Korrektur und setzten die notwendigen Maßnahmen um. Dieses Fenster wird seit Jahren kleiner, und wie wir sehen, beschleunigt die künstliche Intelligenz dies noch weiter.