Kommentar von Michael Zunke, Thales Wie die Absicherung von KI-Code in lokalen oder hybriden Umgebungen gelingt

Generative Künstliche Intelligenz (KI; GenAI) hat die Unternehmenswelt längst erreicht, sodass immer mehr Unternehmen dazu übergehen, eigene KI-Projekte zu starten. Die Herausforderung besteht jedoch darin, vom Projekt zur Produktion voranzuschreiten, ein wesentlicher Hinderungsgrund ist dabei die Absicherung der KI-Modelle.

Nichts ist schlimmer als halluzinierende KI, beispielsweise bei Investitionsentscheidungen oder bei der Analyse von Kundendaten. Weitere Herausforderungen ergeben sich hinsichtlich des Datenschutzes und der Datensicherheit. Risiken bestehen insbesondere bei Software, die für Kunden und Partner zugänglich ist. SaaS-Software und -Dienste, die in der Cloud ausgeführt werden, sind dagegen weniger gefährdet, da Angreifer keinen direkten Zugriff auf die Software oder das Sprachmodell haben.

Wenn Software jedoch auf Kundengeräten installiert wird, ist sie verschiedenen Tools ausgesetzt, die eine Analyse und Änderung ihres Codes und der Verwendung der KI-Modelle ermöglichen. Unter diesen Werkzeugen befinden sich Disassembler und Dekompilierer für die statische Dateianalyse oder Debugger für die Laufzeitverfolgung im Code und Analyse-Tools, um sich neuronale Netze im Detail anzusehen, bzw. zu extrahieren.

Die drei wichtigsten Gefahren für KI-Tools

Zu den drei wichtigsten Gefahren für KI-Tools zählen der Diebstahl des gesamten Modells, die Manipulation von Modellen und weiterhin auch Angriffe auf die Applikation selbst, die intern auf Maschine Learning setzt, um neue Möglichkeiten zu bieten.

1. Diebstahl von KI-Modellen

Läuft ein KI-Modell in einer vom Kunden kontrollierten Umgebung, können mehrere Angriffsvektoren zu dessen Diebstahl oder unbefugter Nutzung führen. Ein gängiges Risiko ist die Softwarepiraterie, bei der nicht autorisierte Kopien der Software verbreitet und ohne gültige Lizenz verwendet werden. Ein anderer, schwieriger zu entdeckender Angriff besteht darin, das KI-Modell aus der Anwendung zu extrahieren, um es in einer anderen Software zu verwenden. Denkbar wäre, dass beispielsweise ein direkter Konkurrent dann vom Wissen und Training eines KI-Modells profitiert. Für das betrogene Unternehmen wäre der finanzielle Schaden immens.

2. KI-Modellmanipulationen

Ohne angemessene KI-Sicherheit ist die Modellintegrität gefährdet und könnte in jeder Phase – bei der Anwendungsbereitstellung, bei Modellaktualisierungen oder nach der Installation – von böswilligen Akteuren beeinträchtigt werden. Die Gefahr wird als so ernst angesehen, dass sie sogar in die OWASP Top Ten für Large Language Models (LLM) aufgenommen wurde. Zum einen handelt es sich um Model Poisoning Attacks, bei denen das ursprüngliche Modell durch eine modifizierte Version ersetzt wird. Zum anderen geht es um Transfer-Learning-Angriffe, bei denen ein anderes Modell das erwartete Verhalten nachahmt, aber unter bestimmten Bedingungen bösartig arbeitet.

Solche Angriffe erfordern Kenntnisse über die Schnittstellen des Modells, die dem Angreifer nur durch Reverse Engineering bekannt wären. Durch eine Analyse der Software können Angreifer ein gefälschtes Modell erstellen, das sich nahtlos einfügt und das ursprüngliche Modell ersetzt.

3. Angriffe auf Machine-Learning-Anwendungen

Angreifer können auch das Verhalten einer Machine-Learning-gestützten (ML) Anwendung manipulieren, anstatt direkt das Modell selbst anzugreifen. ML-Anwendungen verarbeiten Eingabedaten, formatieren sie für das Modell und verarbeiten die Ausgaben des Modells, um sie dem Nutzer zuliefern, oder auch an ein anderes Modell weiter zu reichen. Das macht es anfällig für Input- und Output-Integritätsangriffe, die Daten verändern, bevor sie das ML-Modell erreichen oder deren Ausgabe verändern. Anwendungen, die nicht gegen Reverse Engineering und unbefugte Änderungen geschützt sind, sind oft sehr einfach zu manipulieren.

Drei wichtige Maßnahmen zum Schutz von KI-Modellen und ML-Anwendungen

1. Modellverschlüsselung und Plattformkompatibilität

Um sicherzustellen, dass nur die eigene Anwendung das Modell verwenden kann, sollten Unternehmen es verschlüsseln. Eine starke Verschlüsselung verhindert unbefugte Änderungen und macht gestohlene Modelle für Angreifer unbrauchbar. Wenn man dann dafür sorgt, dass nur die berechtigte Applikation dieses Modell entschlüsseln und nutzen kann, eliminiert man schon Angriffe durch das „Unterschieben“ eines modifizierten Modells.

2. Anwendungsschutz

Darüber hinaus lässt sich die Anwendung schützen. Das schließt Binärdateien, Dynamic Link Libraries (DLLs), Java/.NET-Anwendungen und Python-Skripte mit ein. Spezialisierte Sicherheitstools können die Originaldatei in eine geschützte Version umwandeln und damit gleich mehrere Sicherheitsebenen einbetten, die Codeanalysen verhindern und -änderungen abwehren.

3. Sichere und flexible Lizenzierung

Als dritte Maßnahme empfiehlt sich eine sichere und anpassungsfähige Lizenzierungslösung. Das ermöglicht Anpassungen des Geschäftsmodells, ohne dass die Lizenzierungsimplementierung der Anwendung geändert werden muss. Die Einführung kostenpflichtiger Abonnements oder kostenloser Testversionen sollte beispielsweise keine umfangreichen Codeänderungen und Tests erfordern. Wenn diese Lizenzierung auch noch den Einsatz der Verschlüsselung des Models und der Applikation erlaubt, schließt sich das Ganze zu einem homogenen System.

Schlussfolgerung

Die Absicherung von KI-Code ist nicht nur eine technische Herausforderung, sondern auch eine strategische Entscheidung, um zukünftige Geschäftsmodelle zu schützen. KI-Modelle können den vielleicht entscheidenden Wettbewerbsvorteil ausmachen. Ihr Schutz und die Sicherheit der auf sie aufsetzenden Anwendungen sowie ihre Lizenzierung sorgen für Systemintegrität, Umsatzsicherung und Marktführerschaft. Durch die Kombination von Verschlüsselung, Codeschutz und sicherer Lizenzierung lassen sich Angriffe abwehren, Risiken minimieren und Unternehmen behalten gleichzeitig die volle Kontrolle über ihre digitalen Assets.

(ID:50430864)