Aktuell | Security | c't | heise magazine

ChatGPT findet Malware in Softwarepaketen

Der Anbieter eines Schwachstellenscanners hat den Chatbot ChatGPT in sein Produkt integriert. Binnen zwei Tagen fand die KI 227 Softwarepakete, die Schwachstellen und Malware enthielten.

ChatGPT eignet sich offenbar auch dazu, Sicherheitslücken in Code-Paketen zu entdecken. Der Schwachstellenscanner Socket dient dazu, Lücken in Software zu identifizieren. So trägt er dazu bei, die Gefahr sogenannter Supply-Chain-Attacken – gemeint sind Sicherheitslücken oder Malware, die über Projektabhängigkeiten Eingang in Softwareprodukte finden – zu minimieren. Durch die Integration des Sprachmodells in den Scanner identifizierte ein Team des Anbieters innerhalb von zwei Tagen 227 Softwarepakete mit Sicherheitslücken.

ChatGPT unterstützt den Sicherheitsscanner Socket bei der Bedrohungsanalyse.

Bild: Socket-Blog

Wie die britische Technologie-News-Website The Register berichtet, zeigte sich der CEO des Unternehmens in einer E-Mail überrascht über das Ergebnis. Der bisherige Ansatz, Teile der Paketregister npm für Node.js und PyPi für Python unter anderem mithilfe von statischer Analyse und Graphenabfragen zu analysieren, erwies sich gegenüber dem Tool mit KI-Unterstützung als weniger erfolgreich. Die von ChatGPT identifizierten Sicherheitslücken umfassten hartkodierte Anmeldedaten, SQL-Injections, Hintertüren und Programmstrukturen, die eine potenzielle Ausweitung von Berechtigungen erlauben.