Project Ire: Eine KI, die Malware ohne menschliche Hilfe analysiert

Im heutigen digitalen Zeitalter, in dem Hacker ständig neue Wege finden, ihren Schadcode zu verbergen, präsentiert Microsoft eine innovative Lösung. Der Prototyp mit dem Namen Project Ire kann Software vollständig zurückentwickeln (Reverse Engineering), ohne irgendwelche Hinweise auf deren Herkunft oder Zweck zu erhalten. Dieses Tool automatisiert eine Aufgabe, die bislang ausschließlich erfahrenen Sicherheitsforschern vorbehalten war. Laut Informationen aus dem offiziellen Microsoft-Blog, die am Dienstag veröffentlicht wurden, handelt es sich um einen Durchbruch im Bereich der Cybersicherheit.

Wie Project Ire funktioniert und worin es sich von herkömmlichen Antivirenprogrammen unterscheidet

Herkömmliche Antivirenprogramme funktionieren, indem sie Dateien und Programme nach bekannten Codefolgen, Mustern oder Verhaltensweisen durchsuchen, die mit früheren Malware-Erkennungen in Verbindung stehen. Das Problem besteht darin, dass Hacker ihre Techniken ständig verfeinern, um schädliche Funktionen zu verbergen – beispielsweise nutzen sie integrierte Funktionen legitimer Software, um später schädliche Module herunterzuladen. Project Ire unterscheidet sich davon, indem es als autonomes System agiert, das spezialisierte Tools für das Reverse Engineering von Software verwendet. Seine Architektur ermöglicht Schlussfolgerungen auf mehreren Ebenen: von der Low-Level-Binäranalyse über die Rekonstruktion des Kontrollflusses bis hin zur High-Level-Interpretation des Codeverhaltens.

Den Details aus den Microsoft-Tests zufolge konnte Project Ire 90 % der schädlichen Windows-Treiberdateien korrekt identifizieren. Darüber hinaus stufte es nur 2 % der gutartigen (unschädlichen) Dateien als gefährlich ein, was auf eine sehr niedrige Fehlalarmrate hindeutet. Diese geringe Fehlerquote legt nahe, dass das System bei Sicherheitsoperationen gemeinsam mit Reverse-Engineering-Experten eingesetzt werden könnte. Entsprechende Informationen aus vertrauenswürdigen Quellen wie Microsoft Research bestätigen, dass das System bei Tests mit Windows-Treiberdatensätzen eine Präzision (Precision) von 0,98 und eine Erkennungsrate (Recall) von 0,83 erreichte. Das bedeutet, dass es 98 % der schädlichen Proben korrekt identifizierte und dabei Fehler minimierte.

Erfolge bei der Erkennung spezifischer Bedrohungen

In der Praxis hat sich Project Ire bei der Erkennung bestimmter Malware-Typen bewährt. So konnte es beispielsweise ein Windows-basiertes Rootkit sowie eine weitere Malware-Probe erkennen, die zur Deaktivierung von Antivirensoftware entwickelt worden war, indem es deren wesentliche Merkmale identifizierte. Noch beeindruckender ist, dass das System intelligent genug war, um „einen überzeugenden Fall darzulegen“ – also eine so eindeutige Erkennung zu liefern, dass eine automatische Blockierung gerechtfertigt war. Dies veranlasste Microsoft dazu, eine mit einer elitären Hackergruppe in Verbindung stehende Malware-Probe zu kennzeichnen und zu blockieren. Ergänzenden Angaben aus Sicherheitsanalysen zufolge, etwa von den Microsoft-Defender-Teams, nutzt Project Ire Tools wie Dekompilierer, Sandbox-Speicheranalysatoren und Frameworks wie angr und Ghidra zur gründlichen Analyse von Binärdateien.

In einem weiteren Test mit fast 4.000 Dateien, die zur manuellen Überprüfung vorgesehen waren, erreichte Project Ire eine hohe Präzision von 0,89. Das bedeutet, dass fast 9 von 10 als schädlich eingestuften Dateien korrekt identifiziert wurden. Allerdings erkannte es nur etwa ein Viertel der tatsächlich vorhandenen Malware in den getesteten Dateien. Microsoft weist darauf hin, dass diese Kombination aus Präzision und niedriger Fehlerquote trotz der insgesamt mäßigen Leistung echtes Potenzial für einen zukünftigen Einsatz erkennen lässt.

Zukunft und praktischer Einsatz

Obwohl der Aufstieg der KI Bedenken hinsichtlich der Ersetzung von Menschen durch Maschinen hervorruft, präsentiert Microsoft Project Ire als ein Tool, das überlastete Sicherheitsforscher und IT-Mitarbeiter unterstützen soll. Das Unternehmen plant, diese KI als „Binary Analyzer“ zur Bedrohungserkennung und Softwareklassifizierung in das Team zu integrieren, das Microsoft Defender entwickelt. Ziel ist es, die Geschwindigkeit und Genauigkeit des Systems so zu steigern, dass es Dateien aus beliebigen Quellen bereits beim ersten Kontakt korrekt klassifizieren kann.

Project Ire verbindet große Sprachmodelle (Large Language Models) mit globalen Malware-Daten und arbeitet mit Technologien wie GraphRAG zusammen. Dadurch werden Herausforderungen wie Alarmmüdigkeit, Personalmangel und die zunehmende Raffinesse von Malware adressiert. Derzeit handelt es sich noch um einen Prototyp, der Einschränkungen unterliegt, etwa der erforderlichen Anpassung an andere Dateitypen als Windows-Treiber. Seine Leistung in Benchmarks übertrifft jedoch in einigen Fällen sogar menschliche Analysten, insbesondere bei komplexen Bedrohungen durch fortgeschrittene Gruppen.

Diese Entwicklung von Microsoft stellt einen Fortschritt bei der autonomen Malware-Analyse dar. Wenn Project Ire weiterentwickelt wird, könnte es zu einem entscheidenden Verbündeten im Kampf gegen Cyberangriffe werden, bei dem Geschwindigkeit und Präzision über die Sicherheit von Millionen Nutzern entscheiden.