SRAG

Der Cyber Resilience Act (kurz: CRA) und die Network and Information System Richtlinie (kurz: NIS-2) definieren Bereiche mit einem hohen oder kritischen Cybersicherheitsniveau, z. B. Energie- und Wasserversorgung, Maschinen- und Anlagenbau oder Automobilproduktion. Diese Bereiche verwenden Automatisierungstechnik und ihr Schutz vor Cyberangriffen ist eine wesentliche Grundvoraussetzung für die Lebensqualität und die Wertschöpfung in Deutschland. Diese Automatisierungstechnik basiert auf einer Vielzahl unterschiedlicher Hard- und Softwarekomponenten. Dadurch steigt das Risiko für Softwareschwachstellen. Hinzukommen Herausforderungen im Rahmen der Handhabung der Schwachstellen durch eine immer komplexer werdende Lieferkette: Anwendung von Standardisierung, Zuordnung von Softwarebibliotheken und Funktionen, manuelles Asset-Management.

Große Sprachmodelle (engl. Large Language Model, kurz: LLM) sind eine Schlüsseltechnologie der künstlichen Intelligenz (KI). LLMs sind prädestiniert für die Analyse und die Generierung von Texten in natürlicher Sprache und sind  ein vielversprechender Lösungsansatz für die beschriebenen Herausforderungen, da die Schwachstellenbeschreibungen aus Texten in natürlicher Sprache bestehen. Dabei haben vortrainierte Sprachmodelle die Problematik, dass relevantes Domänenwissen nicht spezifisch genug oder, im Fall neuer Information, gar nicht abgedeckt wird. Es besteht eine algorithmische Herausforderung in der Erweiterung von LLMs. Ein Ansatz mit domänenspezifischem Agenten-basiertem Retrieval Augmented Generation (RAG) kann diese Limitationen adressieren.

Das Gesamtziel des Projektes ist die Erforschung und Entwicklung eines domänenspezifischen Lösungsansatzes für eine KI-Assistenz zur Schwachstellenbehandlung und zum Umgang mit Security Advisories im Bereich der Automatisierungstechnik. Dieses Ziel soll zum Einen durch die Entwicklung von Ansätzen zur Anreicherung eines LLM mit neuen Datensätzen erfolgen, und zum Anderen durch Identifizierung von Schwachstellen durch die KI-Assistenz und das Ableiten von Handlungsempfehlungen.