Macht KI Systeme sicherer oder unsicherer?

Beides würde ich sagen. Wie jedes andere Werkzeug zur Fehlersuche vor ”K.I.” auch schon, weil es von beiden Seiten eingesetzt wird.

Man sollte sich auch keine Wunder erwarten, weil keine Lücken gefunden werden, die nicht grundsätzlich auch von Menschen mit oder ohne andere Werkzeuge gefunden werden können. Was in den Trainingsdaten nicht vorhanden ist, kann als Muster auch nicht gefunden werden, während echte Intelligenz und Kreativität neue Wege finden kann Systeme anzugreifen, die eine ”K.I.” erst dann finden kann, wenn das jemand anders entdeckt hat, und genug Trainingsdaten dazu entstehen.

Die Nachrichtenlage ist IMHO auch ein bisschen durch den ganzen ”K.I.”-Hype verzerrt, denn es wurden ja auch vorher dauernd CVEs erstellt. Über so einige würde gar nicht berichtet, wenn sie nicht von ”K.I.” gefunden würde, und die Zahlen werden von den Anbietern auch gerne übertrieben. Also zum Beispiel Sachen “gefunden“ die bekannt, und dokumentiert sind, und auch nicht ”gefixt” werden, weil sie von den Entwicklern gar nicht als Sicherheitslücken gesehen werden, sondern als dokumentierte Grenzen der Software.

Ich denke man muss das realistisch sehen. Es ist ein weiteres Werkzeug, das hilfreich sein kann. Aber auch weder das Ende der Sicherheit von allem, noch eine magische Waffe gegen alle Sicherheitslücken.

Ich denke, dass es aktuell etwas zur Verunsicherung beiträgt, generell aber einfach yet another tool ist um Software zu härten.

Wie schon von __blackjack__ erwähnt müssen die entstandenen Findings auch erstmal eingeordnet werden, nicht jede Software läuft auf einem Webserver oder einem Desktop-PC hinter einer fritzbox.

Meine Hoffnung als Softwarearbeiter besteht darin, dass endlich die Lieferketten mehr Beachtung bekommen und gehärtet werden.

Schließlich sind aktuell einige Angriffe auf eingebundene veraltete Fremdkomponenten zurückzuführen, die eine Anfälligkeit im Bauch haben. Aber das war auch schon davor so. Nur ist's jetzt möglicherweise einfacher an diese potentiellen Anfälligkeiten heranzukommen... ach, aber auch hier wieder ein herrliches Ping Pong zwischen Räuber und Gendarmerie

Letzten Endes wird es uns selbst nicht davon befreien mit geschultem Blick mit Software zu interagieren ... und vielleicht nicht unseren Signal-PIN jemanden außerhalb der Regierung zu senden

Wie du schon angeschnitten hast, gegen fehlerhafte (und properitäre) Firmware ist man als Endverbraucher nahezu machtlos. Oder könnte das nicht bezahlen...

Naja, kann aber auch bedeuten das Browser einfach viel zu komplex und ein Haufen Kacke sind was die bisherige Code-Qualität angeht.

Ausserdem ist das eine PR-Kooperation zwischen Anthropic und Mozilla wo beide Seiten ein Interesse daran haben die Ergebnisse schön hoch zu spielen. Anthropic um zu zeigen wie viele Lücken gefunden werden, und Mozilla um damit anzugeben wie viel sicherer der Browser jetzt angeblich ist.

Das die Verwendung einer K.I. nun tatsächlich ein Kriterium für Systemsicherheit ist wage ich zu bezweifeln, denn auch eine K.I. besteht aus Code, die irgendwer irgendwann mal geschrieben hat. Ok, diese K.I. könnte sich selber gefixt haben oder von einer anderen K.I. korrigiert worden sein, die aber wiederum auch mal von irgendwem irgendwann geschrieben wurde. Henne <> Ei

[OT]
Fakt ist allerdings aktuell, dass K.I. verdammt viel Geld kostet und das für alle, auch uns unbeteiligte Bastler. Das hat sogar, so zumindest meine Vermutung, auch Auswirkungen auf dieses Forum. Weil RPis und dessen Zubehör durch den K.I.-Wahn so teuer geworden sind, wollen oder können sich weniger Leute einen leisten und damit haben wir hier im Forum weniger Anfragen zu Problemen. Ich hoffe sehr, dass ich mich an diesem Punkt irre!
[/OT]

Ups, sorry! Das wollte ich eigentlich noch als OT kennzeichnen, aber hole das jetzt noch nach.

Du hast „Blockchain“ in der Aufzählung vergessen.

Warum gibt es eigentlich noch keine ”Blockchain-K.I.” oder ”K.I.-Blockchain”?

Wenn die KI so weiter macht und immer mehr "Flaws" aufdeckt können wir bald alles in die Tonne treten. Was verrät uns die KI an Lücken nicht die sie gefunden hat? Ich sehe das sehr kritisch. Es ist langsam unkontrollierbar. Mein oller Admin in den USA hat Zugriff auf die Tools und checkt die Firmeninfrastruktur. So weit über 280 Lücken entdeckt in einem einfachen ActiveDirectory mit hybrider Cloundanbindung. So schnell wie das ausgenutzt werden kann, kannst du gar nicht patchen. Bin froh das ich die Branche gewechselt hab, bin langsam zu alt für diesen Schaiz.,

Um es mal nüchtern mit ner Art Metapher auszudrücken:

Mit dem ersten Atemzug unterliegen Zellen dem unausweichlichen Tod dzrch oxidativem Stress. Um dem zu entgegen, muss nan einfach nie mit dem Atmen anfangen...

AI oder Big Data sind da und geht nicht mehr weg, genauso wie Schokokade, Alkohol, Viren, Trolle und Schlagermusik - und was macht der Mensch: sich anpassen
also was soll's...

Und zu [OT] aus #7:

so ruhig, wie es bei neuen Problemanfragen im RPi4- und RPi5-Unterforum derzeit ist, merkt man die Auswirkung mbMn sehr wohl (und ich hab Momente, wo ich mich freue, nicht so oft in die Tischplatte zu beißen wie befürchtet - mein Hauptgrund sind meine Typos auf'm Tablett und weniger trollige Posts )

Quote from 4zap

So weit über 280 Lücken entdeckt in einem einfachen ActiveDirectory mit hybrider Cloundanbindung

..und die waren auch bereits "vor KI" in der Anzahl da dann nur vermutlich einzelnen findigen Leuten (wenn überhaupt) bekannt - vermutlich den Herstellern am wenigsten.

Es kommt ja jetzt vor allem auch auf die Bewertung dieser "Lücken" an. Eine offen-zugängliche API kann man als Lücke interpretieren oder es könnte durchaus notwendig für einen reibungslosen Betrieb oder Teil des Produkts sein. Ebenso kommt es auch immer auf den Betriebskontext an, bspw. wäre eine fehlende SSL-Verschlüsselung innerhalb eines geschlossenen Rechenzentrums ist jetzt nicht unbedingt eine Lücke.

Ich möchte damit aber auch keineswegs deine Befürchtungen und Erfahrungen herunterspielen.

Ich habe das Gefühl, dass kleinere und mittlere Unternehmen gerade unerwartet viel Energie in dieses Tätigkeitsfeld werfen müssen. Egal, ob man jetzt selbst Softwaresysteme entwickelt oder diese für seine Geschäftsprozesse einfach nur einsetzt. Da ergibt sich einfach viel Bewegung und "Sicherheitslücke" triggert halt auch immer und direkt Ängste, sodass eine Analyse ausbleibt und einfach nur Aktionismus regiert.

Zeitgleich werben KI-Unternehmen mit dem Versprechen, dass man durch Einsatz derer Tools alles billiger wird.

Ich kann mir gut vorstellen, dass es aber anders laufen wird und wir möglicherweise sogar noch höhere Kosten haben, als dass aktuell Einsparpotentiale bestehen.

Unternehmen kaufen sich aktuell nach und nach bei einem KI-Anbieter ihrer Wahl rein und bauen dort ihr eigenes kleines Ökosystem auf. Die Produktion wird angepasst und auch Prozesse werden geändert. Vermutlich gibt es auch hier und da wirklich mal Ersparnisse für ein paar Jahre.

Letzten Endes ist irgendwann der Markt aber bedient und die KI-Tools müssen sich selbst finanzieren. Kein Preiskampf um Marktanteile mehr und so.

Durch die starke Konzentration der Tools auf wiederum wenige große Anbieter haben diese Quasi-Monopolisten dann komplette Gestaltungsfreiheit was die Preise angeht. Sollte es so kommen, so sehe ich die Möglichkeit, dass Privatpersonen und kleinere Unternehmen schnell abgehängt sind, da sie sich das einfach nicht leisten können.

Na ja, wäre ja dann nur konsequent, wenn es sich dabei dann um die Unternehmen handelt, die zuvor von Stelleneinsparungen vermeintlich profitiert haben

Ich sehe das ähnlich. Meiner Meinung nach ist es besser, wenn Sicherheitslücken gefunden und geschlossen werden, als wenn sie jahrelang unentdeckt bleiben. Natürlich steigt dadurch auch das Risiko von neuen 0-Day-Funden, aber langfristig macht das Software aus meiner Sicht sicherer.