Blick auf Iran
Iran nutzt vor allem kommerziell verfügbare KI-Dienste, um bestehende Cyberfähigkeiten mit vergleichsweise geringem Aufwand zu erweitern. TrendAI verweist hier auf die Gruppe APT42, die Gemini für Reconnaissance, gezieltes Social Engineering, Tool-Entwicklung, Debugging und Exploit Research einsetzte und damit KI in mehreren Phasen seiner Operationen nutzte. CyberAv3ngers nutzte ChatGPT zur Aufklärung von industriellen Kontrollsystemen und deren Komponenten wie PLCs und Modbus, wodurch sich der Einsatz kommerzieller KI auch auf OT-Umgebungen erstreckt. Mit der Operation Storm-2035 setzte ein mit Iran in Verbindung stehender Akteur ChatGPT zudem ein, um politische Inhalte zu erstellen, zu übersetzen und auf unterschiedliche Zielgruppen zuzuschneiden.
Was bedeutet das für die Verteidigung?
Für die Verteidigung bedeutet die zunehmende Vielfalt der Zugangswege, dass klassische Indikatoren für KI-Nutzung an Aussagekraft verlieren. Bei lokal oder national betriebenen Modellen können Verbindungen zu externen KI-Diensten vollständig fehlen. Gleichzeitig können KI-Agenten und KI-generierter Code etablierte Angriffsmuster verändern. TrendAI erläutert, dass für die Erkennung deshalb Verhaltensindikatoren wie schnelle oder wiederholte Enumeration, automatisierte Tool-Aufrufe, maschinell getaktete Aktionen, Credential-Zugriffe und laterale Bewegung an Bedeutung gewinnen. Auch für die Attribution wird der Code selbst weniger aussagekräftig: Statt Programmierstil und verwendetes Modell rücken Infrastruktur, Zielauswahl, Zugangswege und Kampagnenverhalten stärker in den Vordergrund.
„Die wichtige Veränderung besteht darin, dass staatlich unterstützte Angreifer nicht die fortschrittlichsten KI-Modelle besitzen müssen, um von ihnen zu profitieren“, so Feike Hacquebord, Principal Threat Researcher bei TrendAI and Co-Autor der Studie. „Entscheidend ist der Zugang. Wir beobachten bereits, dass KI eingesetzt wird, um Aufklärung, Social Engineering, Malware-Entwicklung und Aktivitäten nach einer Kompromittierung zu beschleunigen. Für Verteidiger bedeutet das, weniger darauf zu fokussieren, welches Modell ein Angreifer möglicherweise nutzt, und stattdessen stärker auf die höhere Geschwindigkeit, Skalierung und Automatisierung zu achten, die KI etablierten Angriffstechniken verleiht.“
www.trendaisecurity.com
