Google DeepMind nutzt KI zur formalen Verifikation des kryptografischen Codes von Signal
Google DeepMind hat einen bedeutenden Meilenstein in der Softwaresicherheit erreicht, indem es sein neuartiges AlphaProof-Code-Framework genutzt hat, um das kryptografische Protokoll, das Signal, einer weit verbreiteten Messaging-Plattform, zugrunde liegt, formal zu verifizieren. Dies ist das erste Mal, dass KI eingesetzt wurde, um ein weit verbreitetes kryptografisches Protokoll auf solch einer Tiefe zu verifizieren, was eine langjährige Herausforderung in der Cybersicherheit angeht.
AlphaProof-Code: Ein Multi-Agenten-Framework
AlphaProof-Code ist ein Multi-Agenten-Framework, das menschliches Fachwissen mit KI-Agenten integriert, um formale Verifikation durchzuführen, also den Prozess, mathematisch zu beweisen, dass Software fehlerfrei funktioniert. Dieses Framework wurde auf das kryptografische Protokoll von Signal angewendet und generierte über sechs Millionen Zeilen maschinengeprüfter Beweise in der Programmiersprache Lean. Dieser Aufwand validierte zentrale Sicherheitsmerkmale, einschließlich Forward-Secrecy, Authentifizierung und Post-Compromise-Security, bis hinunter zur Maschinencode-Ebene.
Der Prozess begann damit, dass Forscher und KI-Agenten die Sicherheitsziele von Signal in formale mathematische Spezifikationen übersetzten. Menschliche Experten prüften diese Spezifikationen, wonach von den KI-Agenten, die von Gemini Carbon unterstützt wurden, eigenständig Beweise erzeugt wurden. Leans automatisierte Prüfung stellte die Genauigkeit dieser Beweise sicher, wobei die menschlichen Experten nur ein Prozent des Codes auditierten, was den manuellen Aufwand erheblich reduzierte.
Bewältigung realer Schwachstellen
Im Gegensatz zu traditionellen Verifizierungsmethoden, die sich auf das Protokolldesign konzentrieren, überbrückt AlphaProof-Code die Kluft zwischen Design und Implementierung. Dies ist entscheidend, da Schwachstellen oft in der Implementierungsphase auftreten. Das Framework stellte seine Robustheit unter Beweis, indem es erfolgreich Unsicherheiten in isolierten Versionen des Codes von Signal identifizierte, die wieder eingeführte, zuvor behobene Fehler enthielten.
Der Verifizierungsprozess, der historisch gesehen Jahre dauern konnte, wurde in nur 4 Wochen abgeschlossen. Diese Effizienz hebt das Potenzial der KI hervor, formale Verifikationen für reale Systeme praktikabel zu machen, eine Aufgabe, die früher als zu arbeitsintensiv und kostspielig angesehen wurde.
Folgen für die Cybersicherheit
Durch die formale Verifikation des kryptografischen Protokolls von Signal hat Google DeepMind einen neuen Standard für Sicherheitsgarantien in der digitalen Kommunikation gesetzt. Kryptografische Protokolle sind grundlegend für Online-Banking, Web-Browsing und andere kritische Systeme, was ihre Sicherheit von höchster Bedeutung macht. Der Erfolg des AlphaProof-Codes legt den Grundstein dafür, ähnliche Techniken auf andere wichtige Systeme anzuwenden, wie z.B. Firmware von medizinischen Geräten und Software für Stromnetze.
Da KI-gesteuerte Sicherheitsbedrohungen weiter zunehmen, bietet die Fähigkeit, Software rigoros durch automatisierte Theorem-Proving zu verifizieren, ein leistungsstarkes Werkzeug zur Abwehr von Cyber-Risiken. Google DeepMind hat auch die formalen Verifikationsartefakte dieses Projekts als Open Source veröffentlicht, was es der breiteren Forschungsgemeinschaft ermöglicht, auf diesem Durchbruch aufzubauen.