Dieser Vortrag beleuchtet die gravierenden Auswirkungen von generativer Künstlicher Intelligenz auf das Erlernen und Lehren praktischer IT-Sicherheit, insbesondere im Kontext von Capture-The-Flag-Wettbewerben (CTFs) und der Hochschullehre. Der Referent analysiert das Phänomen des "De-Skillings", diskutiert empirische Studien (darunter eine chinesische Schülerstudie mit 25.000 Teilnehmern sowie PISA-Daten) zum negativen Zusammenhang zwischen exzessiver KI-Nutzung und Testergebnissen, und beleuchtet den grundlegenden Zielkonflikt zwischen echtem Erkenntnisgewinn – welcher konstruktive Reibung erfordert – und notenorientierter Effizienzmaximierung durch automatisierte Problemlösung. Abschließend werden konkrete Lösungsansätze wie transparente Regeln, die Entkopplung von Lernen und Benotung, erhöhte Präsenzzeiten sowie neuartige, KI-resistente Aufgabendesigns vorgestellt.
Wichtigste Punkte & Zeitstempel
0:00 Einleitung & Erwartungsmanagement: Der Vortrag fokussiert sich auf die Metaebene des Lernens und Lehrens von IT-Sicherheit im Zeitalter von KI und bietet keine einfachen Patentrezepte zum "Hacken mit KI".
2:27 CTF-Wettbewerbe und Praxisbezug: CTFs (wie das vor 20 Jahren mitgegründete Team "Enofleck") machen IT-Sicherheit greifbar, werden jedoch zunehmend durch LLM-Agenten unterwandert (z. B. "UserCrow", das Anfang des Jahres den 1. Platz auf der Weltrangliste ctftime.org erreichte).
4:04 Das Phänomen des "De-Skillings": Der Einsatz von KI-Agenten führt zum Verlust eigener Fähigkeiten. Erfolgreiche KI-Nutzer verfügen meist über fundierte Vorkenntnisse als Entwickler, um KI-Vorschläge kritisch bewerten und nachjustieren zu können.
6:37 Empirische Studien zur KI-Wirkung: Eine großangelegte chinesische Studie mit 25.000 Schülern belegt, dass KI-Nutzer in Hausaufgaben hervorragende Noten erzielen, in geschlossenen Prüfungen ("Closebook Tests") jedoch signifikant schlechter abschneiden. Die PISA-Studie bestätigt ähnliche negative Effekte bei täglicher KI-Nutzung.
11:10 Definition einer didaktisch guten Aufgabe: Eine optimale Lernaufgabe muss in begrenzter Zeit lösbar sein, sich auf ein konkretes Lernziel fokussieren und eine kontrollierte Dosis an konstruktiver Reibung ("Friction") erzeugen, um echten Lerneffekt zu erzielen.
14:48 IT-Security-Didaktik & CTFs: CTFs simulieren reale Risikoanalysen und Krisenentscheidungen (wie das zeitweilige Herunterfahren von Services), sind jedoch durch ihre Jeopardy-Struktur ideal von KI-Modellen lösbar.
20:42 Das Dilemma der Aufgabenanpassung: Um KI-Infiltration zu verhindern, müssten Aufgaben künstlich aufgebläht und mit falschen Fährten versehen werden, was sie für menschliche Lernende in zumutbarer Zeit unlösbar macht. Lehrende stehen vor einem Entweder-Oder-Konflikt.
22:06 Zielkonflikt der Studierenden: Lernende stehen unter Zeit- und Leistungsdruck. Die Nutzung von KI maximiert Noten und spart Zeit, zerstört jedoch den zeitintensiven, aber notwendigen Erkenntnisgewinn durch eigene Anstrengung.
26:49 Pädagogische Lösungsansätze: Als Gegenmaßnahmen werden offene Kommunikation, klare Richtlinien, die Entkopplung von formativem Lernen und summativer Bewertung, mehr Präsenzzeiten sowie zweigleisige Aufgabendesigns vorgeschlagen.
Diskussions-Highlights
33:56 Automatisierbare vs. manuelle Aufgaben: Diskussion darüber, ob KI-lösbare Aufgaben ein Oxymoron sind. Der Referent betont eine Verschiebung der Kompetenz: Weg vom reinen "Lücke finden" hin zum "Bewerten von KI-Ausgaben und Steuern von Prompts" bei riesigen, praxisnahen Codebasen (z. B. in Firefox-Größe).
37:57 Prompt Injection und Data Poisoning: Der Einsatz versteckter KI-Sperren oder manipulativer Texte zur Erkennung von KI-Abgaben greift oft zu kurz, da erfahrene CTF-Spieler solche Artefakte vor der Abgabe systematisch herausfiltern.
39:56 Mündliche Prüfungen als Kontrollinstanz: Mündliche Nachfragen zum geschriebenen Code sollen Schummeln aufdecken. Das Problem: Viele Studierende können selbst von ihnen eingereichten KI-Code nicht erklären, weil sie ihn passiv und ohne Verständnis generieren ließen.
44:21 Studierendenperspektive: Aus dem Publikum wird bestätigt, dass KI hervorragend zum Erklären komplexer Konzepte geeignet ist, das eigenständige Lösen von Aufgaben für den Kompetenzerwerb und den Berufseinstieg jedoch unerlässlich bleibt.
Glossar
KI (Künstliche Intelligenz): In diesem Kontext generative Sprachmodelle, LLMs und automatisierte Agenten, die eigenständig Programmcode schreiben oder Sicherheitslücken analysieren können.
CTF (Capture The Flag): Ein IT-Sicherheitswettbewerb, bei dem Teams oder Einzelpersonen computerbasierte Sicherheitslücken ausnutzen müssen, um versteckte Zeichenketten ("Flags") zu erobern.
De-Skillings: Der schleichende Verlust von praktischen Fähigkeiten und Fachkompetenzen durch die übermäßige Automatisierung und Auslagerung von Denkprozessen an KI-Systeme.
Buffer Overflow (Pufferüberlauf): Ein klassischer Softwarefehler, bei dem ein Programm mehr Daten in einen Speicherbereich schreibt, als dieser aufnehmen kann, was Angreifer zur Schadcodeausführung nutzen können.
Jeopardy CTF: Ein traditionelles CTF-Format, bei dem zeitlich begrenzte Einzelaufgaben (Challenges) aus verschiedenen Kategorien gelöst werden, um Punkte zu sammeln.
Attack-Defense CTF: Ein dynamisches CTF-Format, bei dem jedes Team einen eigenen Server gegen Angriffe verteidigen und gleichzeitig die Server anderer Teams attackieren muss.
Prompt Injection: Eine Sicherheitslücke oder Technik, bei der manipulative Befehle in die Eingabeaufforderung (Prompt) eines KI-Modells geschleust werden, um dessen Steuerung zu umgehen.
False Positives (Falschmeldungen): Fehleinschätzungen von Analyseprogrammen oder KI-Modellen, die fälschlicherweise ein nicht existierendes Problem (z. B. eine Sicherheitslücke) melden.
Closebook Test: Eine Prüfungssituation, bei der keinerlei Hilfsmittel oder Internetzugang erlaubt sind und Wissen ausschließlich aus dem Gedächtnis abgerufen werden muss.