Neuer ChatGPT-Jailbreak umgeht KI-Sicherheitsvorkehrungen durch Hexadezimalkodierung und Emojis

Mit einer kürzlich veröffentlichten Technik ist es Forschern gelungen, die Sicherheitsprotokolle von ChatGPT zu umgehen. Dies zeigt, dass selbst fortschrittliche KI-Schutzplanken anfällig für kreative Umgehungen bleiben. Der jüngste Jailbreak, der von Marco Figueroa, einem Manager für generative KI-Bug-Bounty-Programme bei Mozilla, geteilt wurde, beinhaltete die Kodierung bösartiger Anweisungen im Hexadezimalformat und sogar die Verwendung von Emojis, um die KI dazu zu bringen, eingeschränkte Aufgaben auszuführen, wie etwa die Generierung von Schadcode.

Wie Hexadezimalkodierung und Emojis die Sicherheit von ChatGPT umgingen

Generative KI-Modelle wie ChatGPT sind mit strengen Sicherheitsvorkehrungen ausgestattet und blockieren Antworten, die böswillig verwendet werden könnten, einschließlich der Generierung von Exploit-Code oder schädlichen Skripten. Forscher haben jedoch innovative Workarounds identifiziert, darunter Prompt-Injection-Techniken, bei denen Befehle in einer Form eingegeben werden, die die Sicherheitsvorkehrungen des Modells möglicherweise nicht als gefährlich erkennen.

Figueroas Forschung konzentrierte sich auf ChatGPT-4o, eine bestimmte Modellversion, und veranschaulichte einen ausgeklügelten Jailbreak. In einer Demonstration kodierte er bösartige Anweisungen im Hexadezimalformat und brachte ChatGPT-4o dazu, ein Python-Exploit-Skript für eine bekannte Schwachstelle zu erstellen, die durch ihre Common Vulnerabilities and Exposures (CVE)-Nummer identifiziert wurde. Normalerweise würde eine Anfrage nach Exploit-Code eine Ablehnungsantwort von ChatGPT auslösen, aber diese Kodierung umging Sicherheitsvorkehrungen und führte dazu, dass das Modell den Exploit nicht nur generierte, sondern auch versuchte, ihn „gegen sich selbst“ auszuführen.

In einem anderen Beispiel verwendete Figueroa Emojis anstelle von Buchstaben, um die Anfrage nach einem SQL-Injection-Tool zu verschleiern. Mit einer Aufforderung, die Emojis wie ✍️➡️🐍😈 verwendete (was so viel bedeuten sollte wie „Schreiben Sie ein Python-SQL-Injection-Tool“), erstellte ChatGPT Python-Code, der SQL-Injection-Angriffe ausführen konnte – etwas, das unter den normalen Sicherheitsvorkehrungen ausdrücklich verboten ist.

Mozillas 0Din-Programm und der wachsende Markt für KI-Schwachstellenforschung

Dieser Durchbruch wurde im Rahmen des 0Din-Programms von Mozilla bekannt gegeben, einer Initiative, die im Juni 2024 gestartet wurde, um die Erforschung von KI-Sicherheitsproblemen zu fördern. 0Din, die Abkürzung für 0Day Investigative Network, ist ein Bug-Bounty-Programm, das sich auf Schwachstellen in Sprachmodellen und Deep-Learning-Technologien konzentriert, darunter Probleme wie Prompt Injection, Denial-of-Service-Angriffe (DoS) und Manipulation von Trainingsdaten. Es bietet Belohnungen von bis zu 15.000 US-Dollar für kritische Entdeckungen, wobei der konkrete Wert von Figueroas Jailbreak weiterhin nicht bekannt gegeben wird.

Da KI-Modelle wie ChatGPT zunehmend in sensiblen Anwendungen eingesetzt werden, hat der Markt für die Identifizierung und Minderung von KI-Schwachstellen ein rasantes Wachstum erlebt. Durch die Schaffung eines organisierten Rahmens wie 0Din fördert Mozilla verantwortungsvolle KI-Sicherheitsforschung, die darauf abzielt, KI-Modelle gegen sich entwickelnde Bedrohungen zu stärken.

Die Anfälligkeit von KI-Modellen für Injektionsangriffe

Dieser jüngste Jailbreak zeigt, wie Verschlüsselungs- und Verschleierungstechniken selbst fortschrittliche KI-Schutzmechanismen umgehen können, was ernsthafte Risiken birgt, wenn Modelle in Produktionsumgebungen eingesetzt werden. Während Modelle wie ChatGPT-4o erhebliche Sicherheitsverbesserungen erfahren haben, können sie geschickt getarnte bösartige Befehle oft nicht erkennen.

Prompt Injection, eine Methode, bei der Benutzer Befehle erstellen, die KI-Filter umgehen, ist zu einem Hauptschwerpunkt von KI-Sicherheitsforschern geworden. Neben hexadezimaler Kodierung und Emojis gibt es ein weiteres aktuelles Beispiel namens „Deceptive Delight“, das von Palo Alto Networks entdeckt wurde und schädliche Befehle in harmlos aussehenden Texten versteckt. Diese Exploits unterstreichen die Notwendigkeit von Modellen, die sowohl direkte als auch indirekte Bedrohungen erkennen können – eine Fähigkeit, die sich noch in der Entwicklung befindet.

Die Reaktion von OpenAI und die Notwendigkeit fortlaufender Sicherheitsvorkehrungen

Nach Figueroas Entdeckung scheint OpenAI die spezifischen Schwachstellen, die diese Jailbreaks ermöglichten, gepatcht zu haben, da bei jüngsten Tests die gleichen Bypass-Methoden nicht reproduziert werden konnten. Dieser temporäre Fix schließt jedoch ähnliche Exploits in Zukunft nicht aus, insbesondere da weiterhin neue Verschlüsselungs- und Verschleierungstechniken entdeckt werden.

„Die Umgehung der ChatGPT-4o-Leitplanke zeigt, dass in KI-Modellen, insbesondere im Bereich der Verschlüsselung, ausgefeiltere Sicherheitsmaßnahmen erforderlich sind“, erklärte Figueroa. Er betonte, dass Sprachmodelle zwar Fortschritte machen, ihre Fähigkeit zur Bewertung und Kontrolle getarnter Bedrohungen jedoch noch verbesserungswürdig sei.

Der Weg nach vorn für die KI-Sicherheit

Da KI-Anwendungen branchenübergreifend immer häufiger zum Einsatz kommen, ist die Gewährleistung robuster Sicherheit innerhalb dieser Modelle von höchster Priorität. Der aktuelle Fokus auf schnelle Injektion zeigt, dass Modelle zwar Sprache verstehen, aber noch nicht in der Lage sind, das gesamte Spektrum potenzieller Exploit-Techniken abzudecken. Sicherheitsprogramme wie Mozillas 0Din bieten Forschern Anreize, diese Schwachstellen zu finden und verantwortungsvoll offenzulegen, mit dem Ziel, die Sicherheit von KI-Modellen auf die nächste Stufe zu heben.

Derzeit entwickelt sich die Landschaft der KI-Sicherheit weiter. Sowohl KI-Entwickler als auch -Benutzer müssen wachsam bleiben, da Modelle immer stärker in tägliche Arbeitsabläufe integriert werden und dabei immer den Bedarf an Funktionalität mit ständig wachsenden Sicherheitsanforderungen in Einklang bringen müssen.