Krieg der Bots

Mit KI lassen sich nicht nur IT-Systeme und Netzwerke besser absichern. Entsprechende Techniken können auch zur Auffindung von Schwachstellen genutzt werden. Demonstriert wurde dies im letzten Jahr an der Cyber Grand Challenge, die von der Darpa (Defense Advanced Research Projects Agency), dem Forschungsarm des Pentagons, ausgetragen wurde. Sieben KI-Systeme traten dabei gegeneinander an und stellten unter Beweis, dass sie in der Lage sind, Sicherheitsschwachstellen aufzufinden. Gewinner des Wett­bewerbs wurde das an der Carnegie Mellon University entwickelte System «Mayhem», das trotz zeitweisem Ausfall die Konkurrenz deplatzierte.

Zu viel Euphorie ist allerdings auch hier fehl am Platz. So seien die Testbedingungen an der Darpa-Challenge streng kontrolliert gewesen, kommentiert Alsenz den Wettbewerb. «Die zu findenden und zu behebenden Fehler waren im Wesentlichen auf Speicherfehler begrenzt», sagt er. Im Gegensatz zu logischen oder semantischen Fehlern seien diese vergleichsweise einfach durch automatische Analysen zu er­fassen. «Nichtsdestotrotz haben die Systeme Erstaunliches geleistet», so Alsenz. So hat ihm die Leistung des Bots «Mechanical Phish» von Shellphish imponiert. Diesem sei es «als einzigem System gelungen, einen Speicherfehler aufzuspüren und auszunutzen, der in einer komplexen State Machine ‹versteckt› war».

Krieg der Bots

Vor einem vollautomatisierten Cyberkrieg, bei dem sich Armeen von KI-Bots gegenseitig angreifen, stehen wir indes noch nicht. Dies zeigt der «Capture the Flag»-Wettbewerb der letztjährigen IT-Sicherheitskonferenz Defcon. An der Veranstaltung treten Teams von IT-Security-Spezialisten gegeneinander an, indem sie einerseits ihre eigene Rechner­umgebung effizient schützen, andererseits die Systeme der anderen Gruppen angreifen müssen. Erstmals war hier auch der Mayhem-Bot aus der Cyber Grand Challenge mit von der Partie. Er hatte gegen seine menschlichen Opponenten keinen Stich. Mit der geringsten Punktzahl landete die KI-Lösung auf dem letzten Platz.

Auch wenn die Cyberbots noch nicht allzu intelligent sind, könnte eine Entwicklung in Gang kommen, die auch völkerrechtlich weiterverfolgt werden müsste, wie Häni von PwC Schweiz findet. Wichtig sei, dass die Politik hier die Diskussion führe, was für Arten und Mittel von Cyberangriffen künftig toleriert werden könnten. «Aus meiner Sicht ist hier die Zeit reif, im Rahmen einer ‹Digitalen Genfer Konvention› klare Richtlinien und Regeln zu definieren», schlägt Häni vor.