Risiken durch KI-generierte Software-Abhängigkeiten

MÜNCHEN (IT BOLTWISE) – Die zunehmende Nutzung von KI-gestützten Code-Generierungstools verändert die Art und Weise, wie Entwickler Software schreiben, und bringt neue Risiken für die Software-Lieferkette mit sich.

Die Einführung von KI-gestützten Code-Generierungstools hat die Softwareentwicklung revolutioniert, indem sie Entwicklern ermöglicht, effizienter und schneller zu arbeiten. Doch diese Technologie bringt auch neue Herausforderungen mit sich, insbesondere in Bezug auf die Sicherheit der Software-Lieferkette. Ein zentrales Problem ist das Phänomen der sogenannten ‘Halluzinationen’, bei dem KI-Modelle nicht existierende Softwarepakete vorschlagen.

Diese Halluzinationen können schwerwiegende Folgen haben. Wenn Entwickler versuchen, diese nicht existierenden Pakete zu installieren, führt dies normalerweise zu einem Fehler. Doch Kriminelle haben erkannt, dass sie diese Schwäche ausnutzen können, indem sie bösartige Softwarepakete unter den halluzinierten Namen erstellen und in öffentliche Paketregister hochladen. Sobald ein Entwickler das halluzinierte Paket erneut anfordert, wird das schädliche Paket installiert und ausgeführt.

Die Sicherheitsfirma Socket hat festgestellt, dass etwa 43 Prozent der halluzinierten Pakete bei wiederholten Anfragen immer wieder auftauchen, während 39 Prozent nie wieder erscheinen. Diese Vorfälle ähneln dem Typosquatting, bei dem ähnliche oder falsch geschriebene Namen verwendet werden, um Nutzer zu täuschen. Seth Michael Larson von der Python Software Foundation bezeichnet dieses Phänomen als ‘Slopsquatting’.

Die Gefahr besteht darin, dass diese gefälschten Pakete oft sehr überzeugend wirken. Sie enthalten realistisch aussehende Dokumentationen und sogar gefälschte GitHub-Repositories, die den Anschein erwecken, dass es sich um legitime Pakete handelt. Dies kann Entwickler in die Irre führen, insbesondere wenn sie unter Zeitdruck stehen und die Vorschläge der KI ungeprüft übernehmen.

Ein weiteres Problem ist, dass Suchmaschinen wie Google oft AI-generierte Zusammenfassungen dieser Pakete anzeigen, die deren Nützlichkeit und Stabilität loben, ohne die Echtheit zu hinterfragen. Dies verstärkt den falschen Eindruck, dass es sich um legitime Pakete handelt. Ein Vorfall im Januar zeigte, wie Googles AI-Übersicht ein bösartiges npm-Paket empfahl, das den Namen eines legitimen Pakets imitierte.

Die Python Software Foundation arbeitet daran, den Missbrauch von Paketen zu erschweren. Dazu gehört die Implementierung von Programmierschnittstellen zur Meldung von Malware und die Zusammenarbeit mit bestehenden Malware-Meldeteams. Entwickler sollten sicherstellen, dass sie nur bekannte und überprüfte Pakete installieren, um das Risiko zu minimieren.

Insgesamt zeigt sich, dass die Integration von KI in die Softwareentwicklung nicht nur Vorteile, sondern auch neue Risiken mit sich bringt. Entwickler und Unternehmen müssen wachsam bleiben und sicherstellen, dass sie die von KI generierten Vorschläge gründlich überprüfen, bevor sie diese in ihre Projekte integrieren.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!

Angebot

1.997 Bewertungen

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

• NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.

169,00 EUR

Bei Amazon kaufen