Spricht man mit Mikko Hyppönen, dann kommt irgendwann der Zeitpunkt, an dem er in seine Sakkotasche greift und eine Floppydisk hervorzieht. Nur damit er sich erinnert, wie lange er schon in der Cybersicherheitsbranche tätig ist, scherzt der Finne. Wobei: Eigentlich ist er viel älter, sagt er dann – und zieht einen Stapel Lochkarten aus der anderen Tasche. Hyppönen ist übrigens 54.

Hyppönens Einschätzung nach ist der Zustand des Webs besser als je zuvor, wenn man es aus einer Perspektive der Cybersicherheit betrachtet. "Ja, ich weiß, es fühlt sich nicht so an." Denke man aber zehn Jahre zurück, dann sei man schnell wieder in einer Ära der Flash-Exploits und Drive-by-Downloads. "Da wurden Computer nur beim Surfen infiziert. Auch die Malware im E-Mail-Attachment sehen wir nicht mehr so oft", so Hyppönen vor Journalisten im Hauptquartier von With Secure in Helsinki, Finnland.

Ein Grund dafür ist der verstärkte Einsatz von Mobilgeräten wie Smartphones und Tablets, deren Ökosysteme deutlich abgeschlossener und Angriffen gegenüber resistenter sind. "Wir haben das Recht aufgegeben, unsere eigenen Geräte zu programmieren, dafür bekommen wir mehr Sicherheit", sagt Hyppönen. Die Zusammenfassung: Cybersicherheit ist in einem besseren Zustand als je zuvor. "Das heißt nicht, dass wir gewinnen, aber aktuell sind wir gut unterwegs", so der Cybersicherheitsexperte.

"Wir sind am Beginn einer Revolution"

Damit ist die Geschichte aber noch lange nicht auserzählt, denn die Menschheit steht am Beginn der Revolution der Künstlichen Intelligenz. Der Hype sei aktuell groß, aber bis Künstliche Intelligenz das Leben der Menschen ähnlich beeinflusst wie die Mobile-Revolution, werde wohl noch einige Zeit vergehen. "Wir neigen dazu, das Tempo zu überschätzen und das wahre Ausmaß zu unterschätzen", sagt Hyppönen. Die Web-Revolution habe 30 Jahre gedauert. Die Connectivity-Revolution habe etwas über zehn Jahre gebraucht, bis die Menschheit nahezu überall mit Mobilgeräten online gehen konnte. Möglicherweise brauche die Künstliche Intelligenz nicht ganz so lange, aber bis es so weit ist, würden noch Jahre vergehen.

"Die Revolution der KI wird die Welt ebenso verändern. Ist es ein Hype und eine Bubble? Höchstwahrscheinlich. Und wie die Dotcom-Blase wird sie wahrscheinlich platzen, aber KI wird irgendwann die Welt verändern", sagt Hyppönen. Was die Künstliche Intelligenz denn könne? "Alles."

Eine unbefriedigende Antwort, wie der Finne selbst eingesteht, aber wenn man fragt, was das Web könne, sei die Antwort eben auch "alles", nur habe man sich vor 30 Jahren noch nichts darunter vorstellen können. Natürlich müsse man auch mit Nachteilen leben. Heute sei es so einfach wie nie zuvor, Verschwörungstheorien zu verbreiten, dennoch überwiegen die Vorteile und Möglichkeiten der ständigen Konnektivität. "Man kann sich nicht nur die Vorteile herauspicken. Es ist schlicht nicht möglich, Dinge zu 'unerfinden', also eine Entwicklung rückgängig zu machen."

Der KI den eigenen Code zeigen

Doch wo geht die Reise hin? Das erklärte Ziel von OpenAI war es, eine Artificial General Intelligence (AGI, also eine Künstliche Allgemeine Intelligenz) zu entwickeln. "Diese Modelle haben die Möglichkeit, all jene Dinge zu tun, die auch wir in der digitalen Welt tun können", sagt Hyppönen. "Aber warum sollten sie dabei stoppen?" Der Weg zu einer Art Superintelligenz sei relativ einfach erklärt: Man gibt einem KI-System seinen eigenen Quellcode und sagt ihm: "Das bist du, mache dich selbst besser." Große Sprüngen seien so nicht zu erwarten, aber bei jedem Zyklus werde ein Modell eine Spur besser, bis die Menschen nicht mehr die Möglichkeit hätten, die Intelligenz zu verstehen, so Hyppönen.

Bis es tatsächlich so weit ist, müssen sich Cybersicherheitsforscher mit deutlich weniger philosophischen Themen beschäftigen, sondern schon jetzt gegen KI-generierte Bedrohungen vorgehen, die nicht von einer Superintelligenz erschaffen wurden, sondern mithilfe generativer KI erstellt wurden. Hier gibt der Forscher aktuell Entwarnung: "Diese KI-Attacken passieren eigentlich nicht in der Masse." Ein Beispiel seien sogenannte Hey-Mom-Scams. Dabei werden Eltern angerufen, deren Kind vermeintlich in einer Notsituation ist und dringend Geld braucht. Am anderen Ende der Leitung ist eine KI-generierte Stimme, die wie das eigene Kind klingt. Aber: "Das passiert deutlich weniger häufig, als wir angenommen haben", so Hyppönen.

Auch ausgeklügelte Scams, wenn kriminelle etwa einen Deepfake eines Geschäftsführers eines Unternehmens erstellen und Mitarbeiter zur Freigabe von Überweisungen bringen, seien bislang Einzelfälle. Zumindest sei bis auf einen sehr ausgeklügelten Fall in Hongkong noch nicht viel passiert, obwohl die Technologie dafür zur Verfügung stünde.

Es wird nicht ruhig bleiben

Die aktuell vergleichsweise ruhige Lage wird aber nicht anhalten, ist Hyppönen überzeugt. Ein Beispiel sind Love-Scams. Ein geschickter Betrüger kann vielleicht vier oder fünf Leute in die Falle locken. Aber: Irgendwann sei die Grenze erreicht, wie viele Geschichten und Lügen er aufrechterhalten kann. "Über ChatGPT könnte man hunderte solcher Scams gleichzeitig laufen lassen." Warum also den Modellen nicht verbieten, dass sie romantische Avancen wiedergeben? "Weil es ein Geschäftsmodell ist." Viele Unternehmen verwenden Love-Bots, AI-Girlfriends und ähnliche Programme für kommerzielle Zwecke, und die Menschen geben gern viel Geld für diese Services aus. "Wir können nicht nur die Benefits rausnehmen. Wir kriegen die Nachteile, ob wir wollen oder nicht."

Eine größere Gefahr gehe aktuell von sogenannten Rogue Models wie WormGPT aus. Diese haben nichts mit "kontrollierten" Modellen wie GPT4o zu tun, sondern sind meist Abwandlungen von Open-Source-Systemen. "OpenAI war früher auch Open Source, das wurde aber vor vier Jahren geändert, weil es zu gefährlich war. Ich bin normalerweise ein Fan von Open Source, aber wenn es dafür Limits geben sollte, dann ist das KI."

Die Large-Language-Malware

Hyppönen nennt als Beispiel Large-Language-Malware: Diese kann direkt die Programmierschnittstelle eines großen Sprachmodells anschreiben und die KI so dazu bringen, neuen Schadcode zu generieren – und zwar beliebig oft reproduzierbar. Die Anbieter müssen daraufhin den API-Zugang des Kontos blockieren, die KI erstellt ein neues Konto, und das Spiel beginnt von vorn.

"Künstliche Intelligenz kann Zero-Day-Lücken finden. Sie zerlegt meinen Code, findet einen Bug und nutzt ihn aus. Das wird künftig passieren, eine unendliche Menge an Zero Days. Wenn man die Lücken im eigenen Code mithilfe von KI sucht, ist das super. Es ist jedoch beängstigend, wenn es jemand anderes macht."

"Das klingt immer gleich nach einem schlechten Science-Fiction-Film, aber das ist alles dennoch unglaublich spannend und ein wenig gruselig. So mögen wir das." (Peter Zellinger aus Helsinki, 30.5.2024)