Bericht Gehackte Konten und Patch-Flut: Wie man sich schützt, wenn KI-Agenten das Internet unsicher machen

[Andy]

KI-Agenten entdecken im großen Umfang Sicherheitslücken, Angreifer erhalten mächtige Werkzeuge, die bestehende Risiken verschärfen und neue Unsicherheiten schaffen. Der PHP-Sicherheitsvorfall dieser Woche hat es eindrücklich gezeigt. Welche Gefahren für Nutzer bestehen und wie man sich schützen kann, analysiert ComputerBase.

Zum Bericht: Gehackte Konten und Patch-Flut: Wie man sich schützt, wenn KI-Agenten das Internet unsicher machen

 

[0x8100]

Weil die die Sicherheitslücke fast alle Versionen bis PHP 5.4 betrifft

"seit", nicht "bis". sonst wäre das ja kein thema gewesen.

Doch Sicherheitslücke ist voraussichtlich kein Ausreißer,

"die"?

 

[wern001]

@0x8100 man könnte auch sagen "bis runter zu"

 

[Manegarm]

Noch mehr Sicherheitsmaßen sorgen für noch mehr Leistungsbedarf und Bugs.

Sehen wir doch jetzt schon bei Win11, Firefox, Youtube usw. Das funktioniert alles nur noch mittelmäßig.

 

[Oldtimer]

Fünf Minuten vor 12, äääh Skynet..

 

[Muntermacher]

Maildomain zulegen, jeder Account eigene Mailadresse, catch-all auf Maildomain + whitelist bzw blacklist solange die Domain nicht bekannt ist.

 

[dh9]

Claude installieren und das System fixen lassen :-)

 

[Clanker]

Was verständlicherweise (oder auch egoistischerweise?) ausgelassen wurde, ist Werbung.
Seit dem massenhaften Einsatz von KI sind Werbeblocker noch wichtiger geworden, da man durch Werbebanner direkt infiziert wird.
"ai ad banner malware" --> auch ohne zu klicken "ai ad banner malware zero click"

@Oldtimer
So oft wie das wiederholt wurde, kann man mit Sicherheit sagen, dass die Uhr stehen geblieben ist.

 

[Oldtimer]

@Oldtimer
So oft wie das wiederholt wurde, kann man mit Sicherheit sagen, dass die Uhr stehen geblieben ist.

Sieht ganz so aus, denn gelernt hat man nichts. Orvel ist immer noch aktuell

 

[john.smiles]

@Andy

Noch ein anderer Winkel für das Thema AI-Agenten, wie geht man mit ihnen in Foren und Chats um? In letzter Zeit sehe ich immer wieder ein Muster in verschiedenen Foren, nagelneuer Account, definitiv KI generierter Text mit einer Fragestellung, danach ist Sendepause. Oder ein absolut konfuser Wall of text post, zB: hier https://www.computerbase.de/forum/posts/31826706/ (inzwischen gelöscht)

 

[konkretor]

https://www.first.org/epss/
Ich nutze mittlerweile das um festzustellen wie dringend es wirklich ist. Da hier auch die Wahrscheinlichkeit dazu kommt wie hoch das Risiko wirklich ist Real genutzt zu werden.

Alle Lücken bekommst du eh nicht geschlossen.

 

[Drahminedum]

@john.smiles Der Grund ist eine neue Form von Spam - auf die Frage kommt dann nach einiger Zeit eine Antwort (ohne Links wie sonst bei Spam), ebenfalls von KI geschrieben, die Antwort soll dann in LLMs beim Training einfliessen und die Antworten der LLMs beeinflussen.

 

[DerOlf]

Ich werde wohl nie verstehen, warum man einem KI-Agenten Zugriff auf Bezahlapps gewähren sollte. Natürlich MUSS der User die einzige Instanz sein, die entscheien darf, was durch diese App bezahlt wird.
Ist das nicht gesichert, dann nutzt man diese App einfach nicht, weil genau diese Nicht-Nutzung dann die einzig sichere Variante ist.
Gleiches gilt für KI-Agenten. Wenn die nicht sicher sind (prompt-injects werden nur die Spitze des Eisberges sein), dann nutzt man sie nicht.

"to be absolutely safe, go offline" - weil "Was nicht im Netz ist, kann nicht gehackt werden".

 

[theGucky]

Am Ende war es klar, KI durchsucht Millionen Zeilen an Code in Minuten und findet jede Lücke.
Das kann ein Mensch einfach nicht.
Gleichzeitig ist KI aber auch die Lösung, man lässt die eigene KI den Code durchforsten und die Lücken schließen... Am besten gleichzeitig den Code von der KI optimieren lassen, damit weniger Zeilen anfallen und alles schneller und sicherer läuft.

KI ist das Problem und die Lösung...
Heißt also leider das auf kurz oder lang JEDER Code mit KI mitentwickelt werden MUSS.

Ich werde wohl nie verstehen, warum man einem KI-Agenten Zugriff auf Bezahlapps gewähren sollte.

Alles wichtige wie z.b. meine Login Daten für mein Steam Account oder halt alles mit Geld sind nirgends abgespeichert, außer in meinem Kopf oder auf einem Zettel im Tresor...
Meine einzige Gefahr wäre ein Keylogger...

 

[Medcha]

O-Ton: "Aber KI ist doch praktisch..."

 

[Helge01]

Meine einzige Gefahr wäre ein Keylogger...

Die Gefahr hättest du z.B. bei Passkey nicht. Daher immer Passkey verwenden da Passwörter, egal ob im Kopf oder auf dem Zettel immer ein Risiko sind.

Es ist auch wichtig das, soweit es geht, die Authentifizierungs-Cookies nach einer Sitzung gelöscht werden. Wer den Cookie entwendet kann sich selbst bei aktivierten 2FA immer damit anmelden.

 

[Cpt.Willard]

OpenAI erwartet weitere Vorfälle in der nächsten Zeit. „So schwerwiegend diese Fehler sind: Sie gehören zu mehreren bedeutenden Schwachstellen, die wir bereits gefunden haben und an deren Behebung wir arbeiten. Wir erwarten, dass ähnliche Funde in den kommenden Monaten stark zunehmen“

naja... ist auch kein Wunder, wenn man 2 Jahre vergehen lässt ...

Das Sicherheitsteam von PHP entdeckte eines der grundlegenden Probleme übrigens schon 2024. Gravierend wurde die Sicherheitslücke aber erst, als im Sommer dieses Jahres klar wurde, wie man sie ausnutzen kann.

 

[Clanker]

@Medcha
Erst durch KI wurden Lücken entdeckt, die für Menschen entweder viel zu komplex waren oder einen Aufwand von mehreren Monaten oder Jahren bedeutet hätten.
Manchmal ist bekannt, dass es eine Lücke gibt, aber nicht, wo genau sie sich befindet, wie sie funktioniert oder wie man sie schließen kann. In diesen Fällen hat KI schon sehr oft die Lösung gefunden.

KI ist also praktisch, um Lücken zu finden und Software sicherer zu machen.
Natürlich wird diese Fähigkeit auf dem Weg dahin auch für Schlechtes ausgenutzt.


Stell dir vor, du hast ein Unternehmen mit 20 Programmierern und eine Todo-List, deren Abarbeitung 6 Monate in Anspruch nimmt.
Weitere Programmierer kannst du dir nicht leisten, aber eine KI für beispielsweise 20.000 Euro im Monat könnte das Gleiche leisten, was 20 weitere Programmierer leisten könnten.
Selbst wenn du KI-Gegner bist, musst du auf KI setzen, um wettbewerbsfähig zu bleiben.

 

[Helge01]

wenn man 2 Jahre vergehen lässt

Eigentlich noch viel schlimmer, es ist eigentlich schon seit 2004 bekannt das diese Lücke ausgenutzt werden kann. Man hat es damals nur nicht weiter verfolgt da es zu diesem Zeitpunkt noch keinen Exploit dazu gab.

 

[Cpt.Willard]

weiter verfolgt da es zu diesem Zeitpunkt noch keinen Exploit dazu gab.

Tja, heut offenbaren sich dann diese Prioritätensetzungen durch Einsparungen oder wie auch immer man das "an deren Behebungen wir arbeiten", innerhalb kürzester Zeit...