Sicherheitslücke in Meta’s Llama Framework birgt Risiken für KI-Systeme

MENLO PARK / MÜNCHEN (IT BOLTWISE) – Eine kürzlich entdeckte Sicherheitslücke in Meta’s Llama Framework könnte schwerwiegende Folgen für KI-Systeme haben. Diese Schwachstelle, die als CVE-2024-50050 bekannt ist, ermöglicht es Angreifern, beliebigen Code auf dem Llama-Stack-Inferenzserver auszuführen.

Die Sicherheitslücke im Llama Framework von Meta hat in der Technologiebranche für Aufsehen gesorgt. Diese Schwachstelle, die als CVE-2024-50050 identifiziert wurde, könnte es Angreifern ermöglichen, durch die Deserialisierung von nicht vertrauenswürdigen Daten beliebigen Code auf dem Llama-Stack-Inferenzserver auszuführen. Die Schwachstelle wurde von der Sicherheitsfirma Snyk als kritisch eingestuft, während sie im CVSS-System eine Bewertung von 6,3 von 10 Punkten erhielt.

Die Problematik liegt in der Verwendung des Python Inference API, das das Pickle-Format zur Deserialisierung von Objekten nutzt. Dieses Format ist bekannt dafür, dass es bei der Verarbeitung von nicht vertrauenswürdigen Daten zu einer Ausführung von beliebigem Code führen kann. Besonders gefährlich wird es, wenn der ZeroMQ-Socket über das Netzwerk exponiert ist, da Angreifer so manipulierte Objekte an den Socket senden können, die dann unkontrolliert ausgeführt werden.

Meta hat nach einer verantwortungsvollen Offenlegung am 24. September 2024 schnell reagiert und die Schwachstelle am 10. Oktober in der Version 0.0.41 behoben. Die Lösung bestand darin, das Pickle-Format durch das sicherere JSON-Format zu ersetzen. Auch die pyzmq-Bibliothek, die Zugriff auf die ZeroMQ-Messaging-Bibliothek bietet, wurde entsprechend aktualisiert.

Diese Art von Sicherheitslücken ist nicht neu in der Welt der KI-Frameworks. Bereits im August 2024 wurde eine ähnliche Schwachstelle in TensorFlow’s Keras Framework entdeckt, die ebenfalls zu einer Ausführung von beliebigem Code führen konnte. Diese Vorfälle unterstreichen die Notwendigkeit, bei der Entwicklung und Implementierung von KI-Systemen besonders auf Sicherheitsaspekte zu achten.

Die Enthüllung dieser Sicherheitslücke fällt in eine Zeit, in der KI-Modelle zunehmend in den Fokus von Cyberangriffen geraten. Forscher haben gezeigt, dass KI-Modelle in jeder Phase des Angriffszyklus eingesetzt werden können, um Angriffe effizienter und präziser zu gestalten. Diese Entwicklungen zeigen, dass KI zwar viele Vorteile bietet, aber auch neue Herausforderungen im Bereich der Cybersicherheit mit sich bringt.

Ein weiteres Beispiel für die Risiken, die von KI-Systemen ausgehen können, ist eine kürzlich entdeckte Schwachstelle im ChatGPT-Crawler von OpenAI. Diese Schwachstelle könnte genutzt werden, um DDoS-Angriffe auf beliebige Websites zu starten, indem Tausende von Hyperlinks in einer einzigen HTTP-Anfrage übermittelt werden. OpenAI hat das Problem mittlerweile behoben, aber es zeigt, wie wichtig es ist, Sicherheitslücken frühzeitig zu erkennen und zu schließen.

Die zunehmende Integration von KI in Unternehmensprozesse erfordert ein Umdenken in Bezug auf Sicherheitsstrategien. Unternehmen müssen sicherstellen, dass ihre KI-Infrastrukturen robust gegen potenzielle Angriffe sind und kontinuierlich auf Schwachstellen überprüft werden. Nur so können sie die Vorteile der KI voll ausschöpfen, ohne ihre Sicherheit zu gefährden.

Angebot

1.877 Bewertungen

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

• NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.

169,00 EUR

Bei Amazon kaufen