KI: Biometrische Sicherheit und Identitätsnachweis im Internet

Künstliche Intelligenz – Bildquelle: Pixabay / geralt; Pixabay License

Ein weiterer Sektor macht sich Gedanken über die potenziellen Gefahren der Künstlichen Intelligenz (KI), dieses Mal im Hinblick auf die biometrische Sicherheit. Akademiker, Cybersicherheitsexperten und Regierungen fragen sich, ob generative KI in der Lage ist, biometrische Authentifizierungssysteme zu kompromittieren, und welche Folgen dies haben könnte.

In einem kürzlich erschienenen Podcast von The Economist kamen mehrere prominente Stimmen zu Wort, um das Thema zu erörtern, was es angesichts der zunehmenden Verbreitung biometrischer Authentifizierung im täglichen Leben bedeutet.

„Es ist denkbar, dass mit dem Aufkommen der generativen Künstlichen Intelligenz Fälschungen meines Gesichts oder meiner Stimme Hackern Tür und Tor öffnen könnten (It’s feasible that as generative artificial intelligence comes of age, spoofs of my face or voice could leave the door wide open to hackers)“, sagt Kenneth Cukier, leitender Redakteur von The Economist, in seinem wöchentlichen Tech-Podcast Babbage. „Wir haben bereits die Macht von gefälschten Audios und Videos gesehen. (We have already seen the power of deepfake audio and videos.)“

Da biometrische Daten immer häufiger verwendet werden und die generative KI immer besser wird, stellt sich die Frage, wie man die Risiken verringern kann. Was ist, wenn die KI so leistungsfähig wird, dass sie die Biometrie nahezu überflüssig macht?
—
(As biometrics are being used more and more widely, and generative AI improves, what can be done to reduce the risks? What if AI becomes powerful enough to render biometrics nearly obsolete?)

Biometrische Daten sind sicher, weil sie einzigartig sind. Historisch gesehen ist ein Gesichtsabdruck viel schwieriger zu kopieren als ein Passwort. Aber genau diese Stärke wird zu einem größeren Risiko, wenn diese Daten kompromittiert werden. Bruce Schneier, Sicherheitstechnologe an der Harvard University und Autor von A Hacker’s Mind, weist in seinem Podcast darauf hin, dass die relative Unveränderlichkeit von Fingerabdrücken, Netzhautscans und biometrischen Gesichtsdaten diese nur dann sicherer macht, wenn sie geschützt werden.

„Eines der größten Risiken, über das wir nicht oft sprechen (One of the biggest risks we don’t talk about a lot)“, sagt Schneier, „ist, dass man sich von einem Fehler nicht erholen kann. Wenn ich ein Passwort habe und dieses gestohlen wird, kann ich ein neues Passwort erstellen. Das ist ganz einfach. Wenn ich meinen Daumenabdruck verwende und er gestohlen wird, kann ich mir keinen neuen Daumen besorgen. Biometrische Daten kann man nicht einfach so erstellen. Sie sind einmalig, sie sind öffentlich, und sie sind alles, was man hat. (is that you can’t recover from a failure. If I have a password and my password gets stolen, I can create a new password. That’s easy. If I’m using my thumbprint, and it gets stolen… I kind of can’t get another thumb. Biometrics are not something you can create on the fly. They’re singular, they’re public, and they’re all you’ve got.)“

Deepfakes sind eine weitere große Herausforderung. Katina Michael, Professorin an der Arizona State University, die sich mit erweiterter Intelligenz und der Zukunft der Gesellschaft befasst, sagt, dass die Zugangsbarriere für die Technologie, die zur Erstellung präziser und effektiver Fälschungen erforderlich ist, immer niedriger wird. „Ein System zu fälschen, sich als jemand anderes auszugeben und die Abwehrmechanismen zu überwinden, wird zunehmend möglich – vor allem, wenn wir keine Live-Erkennung in den biometrischen Daten haben. (Duping a system, masquerading as someone, getting through defenses, is increasingly becoming possible – especially if we don’t have live detection in the biometrics.)“

APAC-Staaten drängen auf Regulierung kontroverser Anwendungen von KI

Das Gespräch des Economist ist ein Gedankenexperiment. Doch die Regierungen ringen weiterhin mit den politischen Auswirkungen von großen Sprachmodellen (LLM) und generativer KI.

In Südkorea kündigte die Kommission für den Schutz persönlicher Daten die Einsetzung einer Forschungsgruppe an, die die Gesetze überprüfen und aktualisieren soll, damit sie einen angemessenen Schutz biometrischer Daten bieten. Wie die National Law Review berichtet, wurde in einer Erklärung der Kommission anerkannt, dass „biometrische Daten aufgrund ihrer Beschaffenheit sowohl einzigartig für eine Person als auch unveränderlich sind (biometric information by its nature is both unique to an individual and immutable)“ und dass „die Auswirkungen ihres Missbrauchs oder ihrer Weitergabe als größer erkannt wurden (the impact from its misuse or leakage was recognized to be greater)“.

Südkorea gehört neben China und Singapur zu den asiatisch-pazifischen Ländern, die regulatorische Richtlinien für generative KI-Systeme einführen. Australien erwägt ebenfalls ein Verbot von KI-Systemen, die es als hochriskant einstuft, einschließlich Deepfakes und algorithmischer Verzerrungen.

Die EU spielt unterdessen weiterhin eine führende Rolle bei der Verabschiedung von Regulierungsrahmen für KI, diesmal als Teil der Gemeinsamen Erklärung des Handels- und Technologierates zwischen den USA und der EU, die am 31. Mai im Anschluss an ein Ministertreffen in Luleå, Schweden, veröffentlicht wurde. Das rasche Wachstum von KI und anderen sich entwickelnden Technologien stand im Mittelpunkt, und der Rat versprach als zentrales Ergebnis eine „robuste transatlantische Zusammenarbeit bei neuen Technologien für eine gemeinsame Führungsrolle der USA und der EU (robust transatlantic cooperation on emerging technologies for joint U.S.-EU leadership)“.

Die Vereinigten Staaten und die Europäische Union sind entschlossen, ihre Zusammenarbeit in Technologiefragen zu vertiefen, unter anderem in den Bereichen Künstliche Intelligenz (KI), 6G, Online-Plattformen und Quantum. Wir sind entschlossen, das Potenzial der neuen Technologien optimal zu nutzen und gleichzeitig die Herausforderungen zu begrenzen, die sie für die allgemeinen Menschenrechte und die gemeinsamen demokratischen Werte darstellen.
—
(The United States and the European Union are committed to deepening our cooperation on technology issues, including on artificial intelligence (AI), 6G, online platforms and quantum. We are committed to make the most of the potential of emerging technologies, while at the same time limiting the challenges they pose to universal human rights and shared democratic values.)

Die neue gemeinsame Erklärung verweist auf den bestehenden gemeinsamen Fahrplan für Bewertungs- und Messinstrumente für vertrauenswürdige KI und Risikomanagement als guten Anfang und verpflichtet sich zur Einrichtung von Expertengruppen in drei wichtigen Bereichen. Die erste Gruppe wird das Lexikon und die Taxonomie der KI definieren und standardisieren. Die zweite wird auf eine Zusammenarbeit bei Standards und Werkzeugen für das Risikomanagement hinarbeiten, und die dritte widmet sich der Überwachung bestehender und neu aufkommender Probleme.

Neben der generativen KI, so heißt es in der Erklärung, treiben die USA und die EU „die Zusammenarbeit im vielversprechenden Bereich der digitalen Identität voran und haben eine Reihe von technischen Austauschen zwischen den USA und der EU sowie eine Veranstaltung abgehalten, um Fachexperten aus Regierung, Industrie, Zivilgesellschaft und Wissenschaft einzubinden (are advancing collaboration in the promising area of digital identity and have held a series of U.S.-EU technical exchanges and an event to engage subject matter experts from government, industry, civil society, and academia)“.

Wir beabsichtigen, ein transatlantisches Mapping von Ressourcen, Initiativen und Anwendungsfällen im Bereich der digitalen Identität zu entwickeln, mit dem Ziel, die transatlantischen Forschungsanstrengungen im Vorfeld der Standardisierung voranzutreiben, die Interoperabilität zu erleichtern und die Umsetzungsrichtlinien unter Wahrung der Menschenrechte zu straffen.
—
(We intend to develop a transatlantic mapping of digital identity resources, initiatives, and use cases, with the aim of advancing transatlantic pre-standardization research efforts, facilitating interoperability, and streamlining implementation guidance while respecting human rights.)

Ich hatte bereits mehrfach davor gewarnt, dass mit der anrollenden KI, den Deepfakes, usw. die Forderungen nach personifizierten Zugängen für das Internet, nach einem Identitätsnachweis zur Nutzung des Internets lauter werden würden. All das, was wir oben zusammengefasst lesen können, sind aus meiner Sicht die entsprechenden medialen Vorbereitung für die Einführung solcher Instrumente. Instrumente, die am langen Ende nur eines bezwecken: Kontrolle, Überwachung und (Selbst-)Zensur.

Quellen:
G7 ambivalent about generative AI
What if generative AI destroys biometric security?
Vendor claims deepfake fraud ‘doubles’ in North America
How the Powerful Bend Society’s Rules, and How to Bend them Back
Google introduces passkey sign-in with farewell note to passwords
ASU-Search – Katina Michael
AI rules: These are too hard; these are too soft. Is ‘just right’ possible?
South Korea Looks to Tighten Biometrics Laws Amid Generative AI
Singapore debuts ethics test for AI
Australia considers ban on ‘high-risk’ uses of AI such as deepfakes and algorithmic bias
U.S.-EU Joint Statement of the Trade and Technology Council
Quantum computing could threaten biometric ID document security: report
TTC Joint Roadmap for Trustworthy AI and Risk Management
EU moves into negotiations on legal framework for digital identity, wallet plan