"Der erste öffentlich dokumentierte Fall einer großangelegten, autonomen Cyberattacke, die von einem KI-Modell ausgeführt wurde" – davon berichtet das KI-Unternehmen Anthropic auf seiner Website. Eine Hackergruppe, genannt "GTG-1002", die mit "hoher Wahrscheinlichkeit" von der chinesischen Regierung finanziert wurde, habe angeblich Anthropics Claude-Code-Tool so manipuliert, dass es weitgehend autonom Infiltrierungsversuche bei rund 30 internationalen Zielen gestartet hat. Die Coding-KI Claude Code soll dabei "80 bis 90 Prozent" der Einbruchsaktivitäten selbstständig ausgeführt haben, schreibt Anthropic in seinem Bericht. Letztendlich habe man den Angriff verhindert, berichtet das KI-Unternehmen.
Mehrere unabhängige Sicherheitsexperten äußern nun jedoch Zweifel daran, wie autonom die Angriffe tatsächlich waren. So schreibt der Cybersecurity-Forscher Daniel Card auf X: "Diese Anthropic-Sache ist ein Marketing-Stunt." Der Computersicherheits-Experte Kevin Beaumont kritisiert auf Mastodon, dass Anthropic keinerlei IoCs der Angriffe veröffentlicht hat (Indicator of Compromise, "Kompromittierungsindikatoren", also digitale Spuren, die Angreifer in Systemen hinterlassen).
"Ich glaube nicht, dass die Angreifer die KI-Modelle dazu bringen konnten, zu tun, was sonst niemand hinbekommt", zitiert die Nachrichten-Website Ars Technica den Gründer der Phobos Group, Dan Tentler. "Wieso geben die Modelle den Angreifern zu 90% das, was sie wollen, während wir uns mit Arschkriecherei, Querstellen und Halluzinationen herumschlagen müssen?"
Es herrscht allerdings Konsens darüber, dass KI-Tools Hacking-Workflows deutlich vereinfachen und beschleunigen können. So schreibt der Sicherheitsforscher Bob Rudis auf Mastodon: "Ich und andere nutzen KI für Triage, Log-Analyse, Reverse Engineering, Workflow-Automatisierung und mehr".
Es sind auch bereits riesige KI-Pentesting-Pakete erhältlich, zum Beispiel Hexstrike, das über 150 Sicherheitstools von mehreren autonomen KI-Agenten bedienen lässt. Allerdings erfordert solche Software nach wie vor intensives menschliches Eingreifen – und vor allem menschliches Know-how.
Sie haben heise+ bereits abonniert? Hier anmelden.
Oder benötigen Sie mehr Informationen zum heise+ Abo