Lieferketten-Angriffe sind beliebt, aber keineswegs neu. Sie entwickeln sich weiter, nutzen neue Technologien und setzen zunehmend auf KI als Angriffsziel. Ungeahnt gefährliche Möglichkeiten tun sich damit auf.
Neue Angriffsflächen durch KI-Strukturen
Aktuell beobachte man ungewöhnlich viele Lieferketten-Angriffe, teilte das Bundesamt für Sicherheit in der Informationstechnik (BSI) kürzlich mit. Angegriffen würden insbesondere Ingenieurbüros und IT-Firmen. Häufig stelle sich erst später heraus, dass nicht sie das eigentliche Angriffsziel waren, sondern deren Kunden. „Das können auch Behörden oder Institutionen aus dem politischen Raum sein“, führte BSI-Chefin Claudia Plattner aus. Häufig sei dabei unklar, ob es um rein kriminelle Akteure oder politische Interessen gehe. Manchmal sei es ein Konglomerat aus beiden. BSI-Präsidentin Plattner: „Es gibt da unheilige Allianzen zwischen finanziell motivierten und politischen Akteuren“.
Doch inzwischen beschränken sich Lieferketten-Angriffe, sogenannte Supply Chain Attacks, längst nicht mehr auf klassische Software-Lieferketten. Auch KI-Systeme stehen im Fokus. In der Nutzung erscheinen KI-Systeme häufig als Black-Box, doch anders als oftmals angenommen, bestehen KI-Systeme nicht aus einem monolithischen Software-Block. Zahlreiche Komponenten fließen in eine typische KI ein, Systeme sind aus verschiedensten Modulen aufgebaut, dabei wird auch massiv auf Software-Bibliotheken zurückgegriffen. Zudem können generische KI-Systeme je nach Anwendungszweck neu zusammengesetzt und Module ausgetauscht werden. Entwickler fügen Komponenten wie Modelle, Plug-ins, Trainingsdaten und Adapter je nach Bedarf zusammen.
KI-Modelle basieren heute gewöhnlich auf neuronalen Netzen. Sie sind in Schichten organisiert, die Daten transformieren. Diese Schichten bestehen meist aus eigenständigen Modulen, die über Schnittstellen miteinander gekoppelt werden. Beispielsweise besteht die LLM-Lieferkette aus einem Grundlagenmodell, etwa dem massiv vortrainierten System GPT-3, auf denen alles andere aufbaut, sowie aus Adaptern von Drittanbietern, etwa zur Anpassung von Basismodellen. Dazu kommen sogenannte Safetensors zur Speicherung von Modellgewichten sowie Inferenz-Pipelines, die das Modell tatsächlich ausführen und die Ergebnisse liefern. Diese Komponenten sind sogar oftmals über verschiedene Clouds verteilt. Die einzelnen Bestandteile der KI-Systeme unterliegen in der Regel kaum Sicherheitsvorgaben. So kommen Systeme ohne klare Sicherheitsvorkehrungen zum Einsatz.
