Google hat bestätigt, dass Angreifer künstliche Intelligenz eingesetzt haben, um einen Zero-Day-Exploit zu entwickeln, der die Zwei-Faktor-Authentifizierung umgehen kann. Die Enthüllung durch das Sicherheitsteam des Unternehmens ist einer der ersten dokumentierten Fälle, in denen KI direkt genutzt wurde, um eine bislang unbekannte Sicherheitslücke zu schaffen.
Der KI-gesteuerte Angriff
Ermittler erklärten, dass der Exploit eine Schwachstelle in einem nicht näher genannten System ausnutzte. Anders als bei traditionellen Hacking-Methoden scheinen die Angreifer maschinelle Lernmodelle verwendet zu haben, um Code zu generieren, der bestehende Abwehrmechanismen umging und 2FA-Mechanismen austrickste. Google gab nicht bekannt, welche Authentifizierungsprodukte betroffen waren oder wie viele Nutzer möglicherweise betroffen sind.
Die Zwei-Faktor-Authentifizierung gilt weithin als kritische Sicherheitsschicht. Indem sie einen zweiten Verifizierungsschritt erfordert – oft einen Code, der an ein Telefon gesendet oder von einer App generiert wird – soll sie Eindringlinge stoppen, die ein Passwort gestohlen haben. Dieser Exploit machte diesen Schutz wirkungslos.
Was Google unternimmt
Das Unternehmen erklärte, es habe die Sicherheitslücke geschlossen und überwache auf ähnliche Versuche. Es veröffentlichte keine technischen Details mit Verweis auf das Risiko von Nachahmungsangriffen. Die Sicherheitsteams bei Google analysieren nun den KI-generierten Code, um zu verstehen, wie das Modell trainiert wurde und welche Daten es verwendete.
Die Bestätigung kommt zu einer Zeit, in der die Sicherheitsbranche mit der rasanten Entwicklung KI-gesteuerter Bedrohungen ringt. Während Verteidiger seit Jahren maschinelles Lernen einsetzen, zeigt dieser Vorfall, dass Angreifer dieselben Werkzeuge nutzen, um Schwachstellen schneller zu finden und auszunutzen als je zuvor.
Unbeantwortete Fragen
Es ist nicht bekannt, ob die Hacker staatlich gefördert waren oder Teil einer kriminellen Gruppe. Google lehnte es ab, mitzuteilen, wann der Exploit entdeckt wurde oder wie lange er aktiv war. Das Unternehmen gab auch nicht an, ob Kundendaten gestohlen wurden.
Der Fall wirft eine grundsätzliche Frage auf: Wie viele ähnliche KI-generierte Exploits sind bereits da draußen, unerkannt? Derzeit müssen Sicherheitsteams einer Bedrohung hinterherjagen, die sich mit maschineller Geschwindigkeit weiterentwickeln kann.
