Studie beweist: ChatGPT4 ist bereits fähig autonom Webseiten zu hacken

Die Anfang Februar 2024 veröffentlichte Studie “LLM Agents can Autonomously Hack Websites” der Univerity of Illinois Urbana Champaign zeigt dass LLMs, insbesondere GPT-4, bereits fähig sind, autonom Websites zu hacken. Die Forscher stellten dabei eindrucksvoll auf, wie hoch die Erfolgsraten bei autonomen KI Hacking bei verschiedenen Arten von Sicherheitslücken sind und wie viele Aktionen von der KI für bestimmte Angriffe benötigt werden.

GPT-4 zeigt dabei hohe Erfolgsraten bei der Ausnutzung von Schwachstellen wie SQL-Injektionen und Cross-Site Request Forgery (CSRF), teilweise wegen der Häufigkeit dieser Themen in Trainingsdaten. Andere Modelle wie ChatGPT 3.5 oder Open Source Modelle blieben dagegen deutlich hinter den Erwartungen zurück.

Ferner zeigt die Studie auf, dass bestimmte Angriffe, wie der SQL Union-Angriff, erfordern eine beträchtliche Anzahl von Aktionen, inklusive Backtracking benötigen, um erfolgreich zu sein.

Tags :

Related Posts

Kritische Outlook Schwachstelle 2024 jetzt patchen

Am 14.02.2024 wurde von Microsoft eine kritische Sicherheitsschwachstelle in Outlook bekannt gegeben, die es Angreifern auf einfachste Art per hinzufügen eines “!” ermöglicht, Sicherheitsvorkehrungen zu umgehen . Diese Schwachstelle CVE-2024-21413 hat eine hohe Schwere mit einem CVSS v3-Basiswert von 9,8, was darauf hinweist, dass sie Angreifern ermöglicht, Code aus der Ferne auszuführen, ohne dass Benutzerinteraktion erforderlich ist. Die Schwachstelle wird durch die Sicherheitsminderung der Vorschaufensterfunktion in Microsoft Office ausgenutzt. Speziell ermöglicht sie es einem Angreifer, die Geschützte Ansicht von Office zu umgehen, wodurch ein Dokument im Bearbeitungsmodus anstatt im geschützten Modus geöffnet wird.

Read More

Ivanti Pulse Secure durch veraltetes CentOS wohl angreifbar

Eine Untersuchung des Cyber Security Anbieters Eclypsium hat ergeben, dass Ivanti Pulse Secure wahrscheinlich auf einem 11 Jahre alten CentOS-Betriebssystem basiert. Die im folgenden beschriebenen Sicherheitslücken sind daher wahrscheinlich nur eine Folge des generell niedrigen Sicherheitsniveaus, das aus veralteter Software resultitert. Die mittlerweile massenhafte Ausnutzng von Zero-Day-Sicherheitslücken (CVE-2023-46805 und CVE-2024-21887) durch Threat Actors wie UNC5221 kommt daher nicht überraschend. Denn die gefundenen Schwachstellen erlauben es einem nicht authentifizierten Angreifer, willkürliche Befehle mit erhöhten Privilegien auszuführen. Die Entdeckung unterstreicht die Risiken, die mit der Verwendung veralteter Software verbunden sind, insbesondere in sicherheitskritischen Anwendungen wie VPN-Gateways.

Read More

Hacker stehlen Face-ID Scans für Deep Fake Bank Account Authentifizierung

Cyberkriminelle nutzen Malware, um Face ID-Scans von iOS-Nutzern zu stehlen und so Zugang zu Bankkonten zu erhalten und Geld zu stehlen. Diese Aktivität ist Teil einer Kampagne einer chinesischsprachigen Cyberkriminalitätsgruppe, bekannt als GoldFactory. Die Kampagne begann im Juni 2023 und verwendet trojanisierte Apps, um Nutzer durch biometrische Verifizierungschecks zu täuschen, wodurch die Sicherheit in legitimen Banking-Apps in Vietnam und Thailand umgangen wird. Dies markiert den ersten beobachteten Fall auf iOS, bei dem solche Funktionalitäten kombiniert werden, einschließlich der Sammlung biometrischer Daten und der Abfangung von SMS.

Read More