Socket: ChatGPT findet Malware in NPM- und Python-Paketen

Der Anbieter eines Sicherheitsscanners, Socket, nutzt den Chatbot von OpenAI auch zur Untersuchung von Paketen.

Artikel veröffentlicht am 31. März 2023, 10:31 Uhr, Sebastian Grüner

Moderne Softwareprojekte nutzen oft zahlreiche Pakete als Abhängigkeiten. (Bild: Justin Sullivan/Getty Images)

Der Chatbot ChatGPT liegt zwar immer noch bei einigen Details und Fakten falsch, die Zusammenfassungen des Werkzeugs lassen sich aber offenbar dafür nutzen, Malware und Sicherheitslücken zu finden. Das berichtet das Magazin The Register unter Berufung auf den Anbieter Socket, der einen Securiy-Scanner für Python und Javascript unter einem Freemium-Modell vertreibt. Demnach fand das Team mithilfe von ChatGPT insgesamt 227 Sicherheitslücken.

Das Ergebnis der Nutzung von ChatGPT habe Socket überrascht, sagte CEO Feross Aboukhadijeh: "Es hat viel besser funktioniert als erwartet (...) Jetzt sitze ich auf ein paar Hundert Sicherheitslücken und Malwarepaketen und wir beeilen uns, sie so schnell wie möglich zu melden." Socket ist dazu gedacht, sogenannte Supply-Chain-Angriffe zu entdecken, also solche, die über Projektabhängigkeiten eingeschleust werden könnten.

Dass ChatGPT sich prinzipiell für solche Arbeiten eignet, erscheint nicht überraschend, ist das System doch auch auf einer großen Menge Code trainiert und dadurch in der der Lage, übliche Muster zu erkennen. Die gefundenen Sicherheitslücken fallen laut dem Bericht jedoch in zahlreiche verschiedene Kategorien wie "das Ausleiten von Daten, SQL-Injections, hartkodierte Anmeldeinformationen, potenzielle Ausweitung von Berechtigungen und Hintertüren".

Noch sind nicht alle dieser Lücken öffentlich oder gar behoben. Das Magazin The Register konnte aber einige der bereits veröffentlichten Lücken verifizieren und zählte diverse Beispiele auf. Besonders sei bei den gefundenen Lücken, dass sich das KI-System auch nicht von anderslautenden Kommentaren verwirren lasse, zitierte das Magazin Aboukhadijeh.

Der Autor meint dazu:

Zwar können KI-Modelle eine große Hilfe dabei sein, bereits bekannte Muster automatisiert in Hunderttausenden Paketen zu finden. Eine menschliche Überprüfung ist dafür schlicht zu viel Aufwand. Sich aber allein darauf zu verlassen, wird nicht ausreichen. So wird das KI-System wohl sehr schnell an besonders raffinierten Angriffen und Taktiken scheitern, vor allem, falls diese nicht bereits weit verbreitet sind.