Von Insight Editor / 6 Feb 2025 / Themen: Sicherheit
Die Integration von maschinellem Lernen (ML) in die Cybersicherheit begann vor vielen Jahren mit einer einfachen, aber ehrgeizigen Idee: die Leistung von Algorithmen zur Erkennung von Mustern in riesigen Datensätzen nutzbar zu machen. In der Vergangenheit stützte sich die Erkennung von Bedrohungen stark auf signaturbasierte Verfahren - im Wesentlichen digitale Fingerabdrücke bekannter Bedrohungen. Diese Methoden waren zwar gegen bekannte Malware wirksam, hatten aber mit Zero-Day-Angriffen und den immer raffinierteren Taktiken von Cyberkriminellen zu kämpfen. Diese Lücke führte zu einem starken Interesse an der Nutzung von ML zur Identifizierung von Anomalien, zur Erkennung von Mustern, die auf bösartiges Verhalten hindeuten, und schließlich zur Vorhersage von Angriffen, bevor sie sich voll entfalten können.
Eine der ersten erfolgreichen Anwendungen von ML im Bereich der Cybersicherheit war die Spam-Erkennung, gefolgt von anomaliebasierten Systemen zur Erkennung von Eindringlingen (IDS). Diese frühen Iterationen stützten sich stark auf überwachtes Lernen, bei dem Algorithmen mit historischen Daten - sowohl gutartigen als auch bösartigen - gefüttert wurden, um die Unterscheidung zwischen den beiden zu erleichtern. Im Laufe der Zeit wurden ML-basierte Lösungen immer komplexer und umfassten unüberwachtes Lernen und sogar Reinforcement Learning, um sich an die sich entwickelnde Natur von Cyber-Bedrohungen anzupassen.
Obwohl ML-basierte Ansätze die Erkennungsraten drastisch verbesserten und die Arbeitsbelastung der Sicherheitsteams verringerten, waren sie nicht ohne Fehler. Falschmeldungen wurden zu einem erheblichen Problem und führten zu einer „Alarmmüdigkeit“ bei Sicherheitsanalysten. Außerdem begannen Angreifer, sich anzupassen und nutzten gegnerische Techniken, um maschinelle Lernmodelle in die Irre zu führen. Dennoch hat die Entwicklung von ML die Cybersicherheit verändert und dynamischere und anpassungsfähigere Formen der Verteidigung eingeführt.
In den letzten Jahren hat die Einführung von großen Sprachmodellen (LLMs) wie GPT-4 die Diskussion über KI in der Cybersicherheit verändert. Diese Modelle eignen sich hervorragend für Aufgaben wie die Verarbeitung großer Informationsmengen, die Zusammenfassung von Berichten und die Erstellung natürlichsprachlicher Inhalte. Im Bereich der Cybersicherheit wurden LLMs eingesetzt, um Bedrohungsdaten zu analysieren, Zusammenfassungen zu erstellen und bei der Dokumentation zu helfen - alles Aufgaben, bei denen große Datenmengen verarbeitet und in verständlicher Form dargestellt werden müssen.
Doch trotz ihrer Stärken haben LLMs noch keinen „Killer-Anwendungsfall“ im Bereich der Cybersicherheit gefunden. Ihr Wert liegt oft darin, menschliche Analysten zu ergänzen, anstatt sie zu ersetzen. Sie können die Produktivität steigern, indem sie banale Aufgaben automatisieren, aber es fehlt ihnen das tiefe kontextuelle Verständnis und die Entscheidungsfähigkeit, die für die Reaktion auf Vorfälle oder die Suche nach Bedrohungen erforderlich sind. LLMs können hilfreiche Assistenten sein, aber es fällt ihnen schwer, über diese Rolle hinauszugehen, was ihre Wirkung in realen Verteidigungsoperationen einschränkt.
Mit dem Aufkommen der KI in der Softwareentwicklung entstand das Konzept eines „Copiloten für die Sicherheit“ - ein Tool, das Sicherheitsanalysten ähnlich wie Programmier-Copiloten Entwicklern beim Schreiben von Code helfen soll. Die Idee war, dass ein KI-gesteuerter Copilot als virtueller Security Operations Center (SOC)-Analyst fungieren könnte, der dabei hilft, Warnmeldungen zu sichten, Vorfälle zu kontextualisieren und sogar Reaktionsmaßnahmen vorzuschlagen. Diese Vision ist jedoch weitgehend gescheitert.
Das Kernproblem besteht darin, dass die Sicherheits-Copiloten ihr Versprechen, die SOC-Operationen zu verändern, noch nicht erfüllt haben. Sie ersetzen weder das Fachwissen eines erfahrenen Analysten noch gehen sie effektiv auf die eklatanten Probleme ein, mit denen menschliche Analysten heute konfrontiert sind. Anstatt als zuverlässige virtuelle Analysten zu dienen, sind diese Tools oft eine „Lösung auf der Suche nach einem Problem“ - sie fügen eine weitere Technikebene hinzu, die Analysten verstehen und verwalten müssen, ohne einen angemessenen Wert zu liefern. Der Security Copilot von Microsoft beispielsweise ist zwar vielversprechend, hat es aber schwer, die Rolle eines erfahrenen SOC-Analysten effektiv zu ersetzen, da er oft Vorschläge liefert, denen der Kontext fehlt, oder zusätzliche menschliche Eingriffe erfordert, um umsetzbar zu sein.
Ein Teil der Herausforderung besteht darin, dass die Arbeit im Bereich der Cybersicherheit von Natur aus komplex und kontextabhängig ist. SOC-Analysten arbeiten in einem Umfeld mit hohem Druck, in dem sie fragmentierte Informationen zusammensetzen, die breiteren Auswirkungen einer Bedrohung verstehen und Entscheidungen treffen müssen, die ein differenziertes Verständnis des einzigartigen Kontexts des Unternehmens erfordern. Aktuelle KI-Copiloten können bei der Eingrenzung von Optionen oder der Zusammenfassung von Daten helfen, aber es fehlt ihnen das Situationsbewusstsein und das tiefe Verständnis, das erforderlich ist, um wichtige Sicherheitsentscheidungen effektiv zu treffen.
Die Zukunft der KI im Bereich der Cybersicherheit könnte in der Entwicklung von Agentic AI liegen - KI-Systeme, die in der Lage sind, proaktiv und autonom zu handeln. Agentic AI bezieht sich auf Systeme, die selbstständig Situationen einschätzen und Entscheidungen treffen können, ohne dass ein Mensch eingreifen muss, wodurch ein dynamischerer und anpassungsfähigerer Ansatz für die Cybersicherheit ermöglicht wird. Agentic AI bietet eine vielversprechende Richtung für die defensive Sicherheit, da sie es KI-gesteuerten Tools ermöglicht, Systeme aktiv zu verteidigen, Bedrohungen zu jagen und sich an neuartige Bedrohungen anzupassen, ohne dass sie ständig von Menschen überprüft werden müssen. Microsoft hat in diesem Bereich einige große Pläne für die nächste Stufe des Security Copiloten.
Agentic AI könnte die Lücke zwischen Automatisierung und Autonomie in der Cybersicherheit schließen. Anstatt auf einen Analysten zu warten, der Daten interpretiert oder Befehle erteilt, könnte Agentic AI selbständig Maßnahmen ergreifen: Isolierung eines kompromittierten Endpunkts, Umleitung des Netzwerkverkehrs oder sogar Einsatz von Täuschungstechniken, um Angreifer in die Irre zu führen. Solche Fähigkeiten würden einen bedeutenden Sprung von der weitgehend passiven und unterstützenden Rolle darstellen, die KI derzeit spielt.
Unternehmen haben neue Sicherheitstechnologien, die in der Lage sind, selbständig Maßnahmen zu ergreifen, in der Regel nur langsam eingeführt. Falschmeldungen sind immer ein Risiko, und niemand möchte einen Produktionsausfall verursachen oder einen leitenden Angestellten aufgrund einer falschen Annahme daran hindern, seinen Laptop zu benutzen.
Die Angreifer haben dieses Handicap nicht - sie werden KI in vollem Umfang nutzen, um Daten zu stehlen, Ausfälle zu verursachen und Geld zu verdienen. Gefälschte Telefonanrufe, gefälschte Videoanrufe, personalisierte Phishing-E-Mails - diese Bedrohungen sind auf dem Vormarsch. Es ist wahrscheinlich, dass Unternehmen im Jahr 2025 mit der düstersten Bedrohungslandschaft in der Geschichte der Cybersicherheit konfrontiert sein werden, angetrieben durch den böswilligen Einsatz von KI. Einem Bericht von Gartner zufolge wird die Verbreitung von KI-gesteuerten Cyberangriffen bis 2025 voraussichtlich erheblich zunehmen, was zu einer großen Herausforderung für Unternehmen führen wird. Die einzige Möglichkeit, dies zu bekämpfen, besteht darin, sich am Wettrüsten zu beteiligen und neue KI-Agenten für die Entscheidungsfindung einzusetzen.
Natürlich wird es Kollateralschäden geben, die Nutzer werden sich beschweren und die Sicherheitsteams werden beschuldigt werden, aber es könnte endlich an der Zeit sein, Feuer mit Feuer zu bekämpfen und sich in die Zukunft der KI-Kontrolle zu stürzen. Ich glaube, dass das Risiko von KI-gesteuerten Sicherheitsbedrohungen das Risiko von KI-bedingten Ausfällen aufgrund von Fehlalarmen im Jahr 2025 überwiegen wird - und wir sollten unsere Risikokalkulationen in naher Zukunft überdenken, wenn die Technologie verfügbar ist.
Technology Lead EMEA CISO
Insight
