Sicherheitsprüfung von ChatGPT, Claude und Gemini mit dem CASB von Cloudflare

Ab sofort können alle Nutzer unserer Secure Access Service Edge (SASE)-Plattform Cloudflare One unseren API-basierten Cloud Access Security Broker (CASB) für eine Sicherheitsbewertung ihrer auf generativer KI beruhenden Tools verwenden – namentlich ChatGPT (OpenAI), Claude (Anthropic) und Gemini (Google). Unternehmen können das von ihnen genutzte Tool unter ihrem Account einbinden und binnen Minuten mit der Ermittlung unter anderem von Fehlkonfigurationen, Data Loss Prevention (DLP)-Treffern, Datenoffenlegung und -freigabe und Compliance-Risiken beginnen. Dafür müssen sie nicht erst mühsam Software auf den Geräten von Nutzern installieren.

Weil immer mehr Unternehmen generative KI einsetzen, müssen IT- und Sicherheitsabteilungen dringend darauf achten, dass sie hinsichtlich der  Gefahren und der Herausforderungen in puncto Compliance dieser leistungsstarken Technologie auf dem Laufenden bleiben. Angesichts der Dynamik in diesem Kontext brauchen sie Werkzeuge, mit denen nicht nur eine KI-Einführung ermöglicht, sondern zugleich die Sicherheit ihrer Firmennetzwerke und -daten gewährleistet werden kann. 

Der API-basierte und der interne CASB von Cloudflare arbeiten Hand in Hand, um Unternehmen bei der sicheren Implementierung von KI-Tools zu unterstützen. Die Integration des API-basierten CASB erlaubt einen externen Überblick über gespeicherte Daten und den Sicherheitsstatus beliebter KI-Tools wie ChatGPT, Claude und Gemini. Gleichzeitig ermöglicht Cloudflare Gateway interne Prompt-Kontrollen und die Identifizierung von Schatten-KI. Die Lösung wendet Richtlinien und DLP auf den Datenverkehr an, der auf dem Weg zu diesen KI-Anbietern ist. Gemeinsam stellen diese Funktionen Unternehmen eine übergreifende Steuerungsebene bereit, mit der sie den Einsatz generativer KI absichern können.

Sowohl ChatGPT als auch Claude und Gemini sind jetzt im Rahmen der von dem API-basierten CASB von Cloudflare unterstützten Integrationen verfügbar. Diese können von allen Cloudflare One-Nutzern verwendet werden. Account-Inhaber können ihre auf generative KI beruhenden Mandanten ganz unkompliziert verbinden. Der CASB kann dann nach Sicherheitsproblemen in verschiedenen Bereichen suchen:

• Verbindungen ohne Agenten: Die Verbindung zu ChatGPT, Claude und Gemini kann über API-basierte Integrationen ohne Agenten hergestellt werden, um Sicherheitsstatus und Datenrisiken zu untersuchen. Eine Endgerät-Software muss in diesem Fall nicht installiert werden.

• Verwaltung des Sicherheitsstatus: Damit lassen sich unsichere Einstellungen und Fehlkonfigurationen ermitteln, die zur Offenlegung oder zum Missbrauch von Daten führen können.

• DLP-Erkennung: Es wird ermittelt, wo sensible Daten in Chat-Anhängen hochgeladen wurden (dieser Service ist in Kürze auch für Prompts verfügbar).

• Erkenntnisse speziell zu generativer KI: Es werden Risiken aufgezeigt, die mit den konkreten Funktionen des Instrumentariums eines bestimmten KI-Anbieters verbunden sind.

Administratoren können jetzt Fragen beantworten wie: Was machen unsere Mitarbeitenden bei ChatGPT? Welche Daten werden bei Claude hochgeladen und verwendet? Ist Gemini im Google Workspace richtig konfiguriert?

Schauen wir uns jetzt die einzelnen Integration genauer an.

Die CASB-Integration von Cloudflare bei ChatGPT von OpenAI durchsucht das Tool nach verschiedenen Arten von Informationen:

• Nutzung bestimmter Funktionen: Es werden spezielle ChatGPT-Funktionen hervorgehoben, etwa Aktionen, die Ausführung von Code und Zugriff auf das Web.

• Äußere Gefährdung: Chats und generative vortrainierte Transformer (Generative Pre-trained Transformers – GPT), die außerhalb des Mandanten weitergegeben werden, etwa öffentlich zugängliche oder im GPT Store gelistete GPT, werden ermittelt und zur schnelleren Voreinstufung ihren Urhebern zugeordnet.

• Secrets, Keys und Einladungen: Zur Gewährleistung ordnungsgemäßer Anmeldedaten werden API-Schlüssel identifiziert, die nicht ausgetauscht wurden oder nicht mehr verwendet werden. Außerdem werden Einladungen ermittelt, die zu umfangreiche Rechte gewähren oder veraltet sind.

• Sensible Inhalte (mittels DLP): Vertrauliche Daten (z. B Anmeldedaten und Secrets, Finanz-/Gesundheitsinformationen, Quellcode usw.) werden per DLP-Profilabgleich in hochgeladenen Chat-Anhängen identifiziert, damit gezielt darauf reagiert werden kann.

Für Claude kann Cloudflare Folgendes extern (Out-of-Band) ermitteln:

• Secrets, Schlüssel und Einladungen: Risikoreiche Einladungen und eine Verschiebung von Berechtigungen werden frühzeitig angezeigt, damit das Prinzip der Vergabe geringstmöglicher Rechte möglichst strikt eingehalten wird. Ungenutzte API-Schlüssel und Lücken bei der Passwortänderung werden erkannt, bevor sie die Sicherheit beeinträchtigen.

• Sensible Inhalte (über DLP): Hochgeladene Dateien werden auf vertrauliche Daten hin überwacht, damit Claude in Unternehmen auf sichere und vorschriftsmäßige Weise benutzt werden kann. IT-Sicherheitsabteilungen erhalten diese Informationen so schnell, wie der CASB scannt. Das verschafft ihnen den nötigen Überblick, um Mitarbeitenden dabei zu helfen, Claude produktiv und sicher mit vertraulichen Daten zu verwenden.

Während Anthropic die API-Möglichkeiten und -Funktionen von Claude weiter ausbaut, wird Cloudflare entsprechende Sicherheits-Erkennungslösungen hinzufügen, damit neue Features unterstützt werden können, sobald sie verfügbar sind.

Die Erkennungslösung von Cloudflare für Google Gemini erscheint als Teil unserer API-CASB-Integration im Google Workspace:

• Identität und Multi-Faktor-Authentifizierung (MFA): Gemini-Nutzer und -Administratoren ohne MFA werden identifiziert, da sie dies zu bevorzugten Zielen für eine Kompromittierung macht. Stellen Sie sich vor, ein IT-Administrator verarbeitet täglich mit Gemini Firmendaten, doch sein Google Workspace-Konto ist nicht mit MFA gesichert. Dann reicht eine einzige erfolgreiche Phishing-E-Mail, um einem Angreifer privilegierten Zugang zu Gemini und der gesamten Google Workspace-Umgebung zu verschaffen. So könnte sich ein kleines Versäumnis zu einem das gesamte Unternehmen betreffenden Sicherheitsvorfall ausweiten. 

• Lizenzpflege: Zur Kostensenkung und zum Eindämmen der Gefährdung werden gesperrte Konten gekennzeichnet, die noch über Gemini- oder AI Ultra-Lizenzen verfügen. Ein AI Ultra-Nutzer hat Zugang zu leistungsfähigeren und risikoreicheren Funktionen, beispielsweise Project Mariner. Dabei handelt es sich um einen Forschungsprototyp, der als autonomer Agent fungiert und in der Lage ist, bis zu zehn Aufgaben gleichzeitig in verschiedenen Webbrowsern automatisch auszuführen. Somit kann ein Angreifer auch größeren Schaden anrichten, wenn er einen AI Ultra-Nutzer kompromittiert. Deshalb haben wir dies in unsere Erkennungsfunktion aufgenommen.

Die Gemini-Integration hat einen begrenzteren Umfang, weil das Produkt und die API von Google anders strukturiert sind, als dies bei OpenAI oder Anthropic der Fall ist. Unternehmen wird Gemini als Add-on für Google Workspace angeboten. Sie aktivieren Gemini-Funktionen in Gmail, Docs, Sheets und anderen Google Workspace-Anwendungen über Add-On-Lizenzen wie Gemini Enterprise oder AI Ultra. Unsere CASB-Erkennung konzentriert sich auf Identität, MFA und Lizenzpflege, nicht auf Sicherheitsstatusprobleme wie öffentliche Freigabe oder die Veröffentlichungen benutzerdefinierter Assistenten, da Gemini diese API-Endpunkte noch nicht bereitstellt.

Wie etliche andere Unternehmen führt auch Cloudflare generative KI ein, um diese Umgebungen noch sicherer zu machen, als sie es heute sind. Wir freuen uns, dass wir unseren Kunden nun die Möglichkeit geben können, mit dieser Technologie Innovationen voranzutreiben. Mit Blick auf die Zukunft stimmt es uns zuversichtlich, dass Anbieter generativer KI konkrete Maßnahmen ergreifen, um Sicherheit, Compliance und Datenschutz noch fester in ihre Plattformen zu verankern.

Durch die Einführung generativer KI werden neue Anforderungen an die Sicherheit gestellt. Der CASB von Cloudflare bietet zusätzlich zu internen Kontrollen einen externen (Out-of-Band) Überblick über diese Tools und liefert Erkenntnisse dazu. So haben Unternehmen Sicherheit, Zugang und Daten im Griff. Das erlaubt ihnen eine sorgenfreie und sichere Implementierung generativer KI.

Erste Schritte:

• Für bestehende Cloudflare One-Kunden: Wenden Sie sich an Ihre/n Kundenbetreuer/in oder aktivieren Sie die Integrationen direkt in Ihrem Dashboard.

• Neu bei Cloudflare One? Dann melden Sie sich jetzt an, um 50 kostenlose Lizenzen zu erhalten und generative KI sofort sicher nutzen zu können. Wird eine umfangreichere Bereitstellung benötigt, können Sie einen Termin für ein Beratungsgespräch mit unseren Fachleuten vereinbaren.

Wenn Sie einen Ausblick auf weitere neue Funktionen erhalten und unsere Roadmap mitgestalten möchten, melden Sie Ihr Interesse an unserem Nutzerforschungsprogramm für KI-Sicherheit an.