NCSC nennt wichtige Prüfungen vor dem Einsatz von KI zur Suche nach Schwachstellen

Das britische National Cyber Security Centre hat Leitlinien für Organisationen veröffentlicht, die den Einsatz künstlicher Intelligenz zur Identifizierung von Softwareschwachstellen erwägen. Die Botschaft ist einfach: KI kann die Sicherheitsarbeit unterstützen, aber bei einer Einführung ohne klaren Plan auch neue Risiken schaffen.

Das NCSC warnt, dass das Scannen von Code mit einem KI-Tool nicht dasselbe ist wie eine Verbesserung der Sicherheit. Organisationen benötigen weiterhin ein solides Schwachstellenmanagement, konsequentes Patchen und ein klares Verständnis ihrer Systeme. In vielen Fällen reduziert eine grundlegende Cyberhygiene das Risiko effektiver, als eine große Zahl neu entdeckter Probleme zu verfolgen.

Fragen, die vor der Einführung von KI gestellt werden sollten

Die Leitlinien empfehlen Sicherheitsteams, vor dem Zugriff von KI-Systemen auf Code, Dokumentation oder Produktionsumgebungen mehrere praktische Fragen zu klären.

• Welches Geschäftsziel möchte die Organisation erreichen?
• Ist KI der beste Weg, um die Sicherheit zu verbessern, oder sollten die Anstrengungen zunächst in grundlegende Cyberhygiene fließen?
• Gibt es einen Prozess zur Entgegennahme, Priorisierung und Behebung von Schwachstellen?
• Wie werden Ergebnisse priorisiert, damit die am leichtesten ausnutzbaren Probleme zuerst behoben werden?
• Welche Risiken entstehen durch die Offenlegung sensibler Informationen oder eine zu weitreichende Berechtigungsvergabe für das Modell?

Das Zentrum empfiehlt Organisationen außerdem, das gewählte Modell zu prüfen – einschließlich des Hosting-Standorts, der geltenden Rechtsordnung und möglicher Regeln zur Datenaufbewahrung des Dienstes. Es rät, mit der externen Angriffsfläche zu beginnen und Ergebnisse durch Menschen überprüfen zu lassen, statt sich allein auf KI zu verlassen.

Langfristig planen

Das NCSC betont, dass Organisationen über ein einzelnes Projekt hinausdenken sollten. Frontier-KI-Systeme entwickeln sich schnell weiter, und Sicherheitsteams benötigen einen nachhaltigen Plan zur Bewertung neuer Modelle, zum Umgang mit Aktualisierungen und zur Reaktion auf Schwachstellen in den Produkten und Diensten, von denen sie abhängig sind.

Es fügt hinzu, dass KI am besten als Werkzeug betrachtet werden sollte, das qualifizierte Arbeit beschleunigen kann, nicht als Ersatz für erfahrene Fachkräfte. Organisationen, die Automatisierung mit einem soliden Asset-Management, konsequentem Patchen und Sicherheitsexpertise verbinden, erzielen mit größerer Wahrscheinlichkeit echte Verbesserungen.