Дали ChatGPT е катастрофа за киберсигурността? Попитахме експертите

ChatGPT чувствам се доста неизбежен в момента, с историите удивлявайки се на способностите му изглежда навсякъде, където погледнете. Видяхме как може да пише музика, да прави 3D анимации и да композира музика. Ако можете да се сетите за това, ChatGPT вероятно може да се опита.

И точно това е проблемът. В момента в технологичната общност има всякакви разногласия, като коментаторите често се притесняват, че AI е за да доведе до апокалипсис на злонамерен софтуер, като дори и хакерите с най-зелени пръсти създават неудържими троянски коне и рансъмуер.

Но дали това всъщност е вярно? За да разбера, говорих с редица експерти по киберсигурност, за да видя какво правят от способностите на ChatGPT за злонамерен софтуер, дали са били загрижени за потенциала му за злоупотреба и какво можете да направите, за да се защитите в това изгряващо ново свят.

Съмнителни способности

Една от основните атракции на ChatGPT е способността му да изпълнява сложни задачи само с няколко прости подкани, особено в света на програмирането. Страхът е, че това ще намали бариерите за навлизане на пазара за създаване на злонамерен софтуер, потенциално рискувайки разпространението на автори на вируси, които разчитат на AI инструменти, за да вършат тежката работа вместо тях.

Джошуа Лонг, главен анализатор по сигурността в охранителната фирма Intego, илюстрира тази теза. „Както всеки инструмент във физическия или виртуалния свят, компютърният код може да се използва за добро или за зло“, обяснява той. „Ако поискате код, който може да криптира файл, например, бот като ChatGPT не може да знае истинското ви намерение. Ако твърдите, че имате нужда от код за криптиране, за да защитите вашите собствени файлове, ботът ще ви повярва - дори ако истинската ви цел е да създадете рансъмуер.

ChatGPT разполага с различни предпазни мерки за борба с подобни неща и трикът за създателите на вируси е в заобикалянето на тези предпазни огради. Направо помолете ChatGPT да създаде ефективен вирус и той просто ще откаже, изисквайки от вас да проявите изобретателност, за да го надхитрите и да го накарате да изпълни офертите ви срещу по-добрата му преценка. Имайки предвид какво могат да правят хората jailbreaks в ChatGPT, възможността за създаване на зловреден софтуер с помощта на AI изглежда възможна на теория. Всъщност, вече е доказано, така че знаем, че е възможно.

Но не всички се паникьосват. Мартин Зугек, директор по технически решения в Bitdefender, смята, че рисковете все още са сравнително малки. „По-голямата част от начинаещите автори на злонамерен софтуер вероятно няма да притежават уменията, необходими за заобикаляне на тези защити мерки и следователно рискът, породен от генерирания от чатбот злонамерен софтуер, остава сравнително нисък към този момент“, той казва.

„Генерираният от чатбот злонамерен софтуер напоследък е популярна тема за обсъждане,“ продължава Zugec, „но в момента има няма доказателства, които да предполагат, че представлява значителна заплаха в близко бъдеще. И има проста причина за това. Според Зугек, „качеството на кода на зловреден софтуер, произведен от чатботовете, обикновено е ниско, което го прави по-малко привлекателна опция за опитни автори на зловреден софтуер, които могат да намерят по-добри примери в публичния код хранилища.”

Така че, докато накарате ChatGPT да създава зловреден код със сигурност е възможно, всеки, който има умения необходим за манипулиране на AI chatbot вероятно няма да бъде впечатлен от лошия код, който създава, Zugec вярва.

Но както може би се досещате, генеративният AI едва сега започва. И за Лонг това означава, че рисковете от хакване, породени от ChatGPT, все още не са заложени в камък.

„Възможно е възходът на базираните на LLM AI ботове да доведе до малко до умерено увеличение на новия зловреден софтуер или подобрение в зловреден софтуер възможности и избягване на антивирусни програми“, казва Лонг, използвайки акроним за големите езикови модели, които AI инструменти като ChatGPT използват, за да изградят своите знания. „На този етап обаче не е ясно доколко инструментите за пряко въздействие като ChatGPT оказват или ще оказват върху заплахите от злонамерен софтуер в реалния свят.“

Приятел на рибар

Ако уменията на ChatGPT за писане на код все още не са на ниво, може ли това да представлява заплаха по други начини, като например чрез писане на по-ефективни кампании за фишинг и социално инженерство? Тук анализаторите са съгласни, че има много повече потенциал за злоупотреба.

За много компании един потенциален вектор за атака са служителите на фирмата, които могат да бъдат измамени или манипулирани да предоставят по невнимание достъп там, където не трябва. Хакерите знаят това и имаше много атаки със социално инженерство с висок профил, които се оказаха катастрофални. Например, смята се, че севернокорейската Lazarus Group е започнала своята Проникване през 2014 г. в системите на Sony — което води до изтичане на неиздавани филми и лична информация — като се представя за човек, който наема работа и кара служител на Sony да отвори заразен файл.

Това е една област, в която ChatGPT може значително да помогне на хакерите и фишърите да подобрят работата си. Ако например английският не е родният език на заплахата, те биха могли да използват чатбот с изкуствен интелект, за да напишат за тях убедителен фишинг имейл, който е предназначен да се насочи към англоговорящите. Или може да се използва за бързо създаване на голям брой убедителни съобщения за много по-малко време, отколкото би било необходимо на човешки заплахи, за да извършат същата задача.

Нещата могат да станат още по-лоши, когато в сместа се включат други инструменти за изкуствен интелект. Както постулират Карен Рено, Мерил Уоркентин и Джордж Уестерман Преглед на управлението на Sloan на MIT, измамник може да генерира скрипт с помощта на ChatGPT и да го прочете по телефона от дълбок фалшив глас, който се представя за главен изпълнителен директор на компания. За служител на компанията, който получава обаждането, гласът ще звучи - и ще действа - точно като техния шеф. Ако този глас поиска от служителя да прехвърли парична сума в нова банкова сметка, служителят може да се поддаде на хитростта поради уважението, което плаща на шефа си.

Както казва Лонг, „Вече [актьорите в заплахите] не трябва да разчитат на собствените си (често несъвършени) английски умения, за да напишат убедителен измамнически имейл. Нито трябва дори да измислят своя собствена умна формулировка и да я пуснат през Google Translate. Вместо това, ChatGPT – напълно неподозиращ потенциала за злонамерено намерение зад заявката – с радост ще напише целия текст на измамническия имейл на всеки желан език.“

И всичко, което е необходимо, за да накарате ChatGPT действително да направи това, е някакво умно подсказване.

Може ли ChatGPT да повиши вашата киберсигурност?

И все пак не всичко е лошо. Същите черти, които правят ChatGPT привлекателен инструмент за участниците в заплахи – неговата скорост, способността му да намира пропуски в кода – го правят полезен ресурс за изследователите на киберсигурността и антивирусните фирми.

Лонг посочва, че изследователите вече използват AI чатботове, за да намерят все още неоткрити („нулев ден“) уязвимости в кода, просто като качите кода и помолите ChatGPT да види дали може да забележи някакъв потенциал Слабости. Това означава, че същата методология, която може да отслаби защитите, може да се използва за тяхното укрепване.

И докато основната привлекателност на ChatGPT за участниците в заплахи може да се крие в способността му да пише правдоподобни фишинг съобщения, същите тези таланти могат да помогнат на компаниите и потребителите да се обучат на какво да внимават, за да избегнат измама себе си. Може също така да се използва за обратно инженерство на злонамерен софтуер, помагайки на изследователи и фирми за сигурност да разработят бързо мерки за противодействие.

В крайна сметка ChatGPT сам по себе си не е добър или лош. Както посочва Zugec, „Аргументът, че AI може да улесни разработването на зловреден софтуер, може да се приложи към всеки друг технологичен напредък, който облагодетелства разработчиците, като софтуер с отворен код или споделяне на код платформи.”

С други думи, докато предпазните мерки продължават да се подобряват, заплахата, породена дори от най-добрите AI чатботове може никога да не стане толкова опасно, колкото беше прогнозирано наскоро.

Как да се предпазите

Ако сте загрижени за заплахите, произтичащи от чат ботове с изкуствен интелект и злонамерения софтуер, който те могат да създадат, има някои стъпки, които можете да предприемете, за да се защитите. Zugec казва, че е важно да се възприеме „многопластов защитен подход“, който включва „внедряване на решения за сигурност на крайната точка, запазване на софтуер и системи актуалени оставане нащрек срещу подозрителни съобщения или заявки.“

Междувременно Long препоръчва да избягвате файловете, които автоматично получавате подкана да инсталирате, когато посещавате уебсайт. Когато става въпрос за актуализиране или изтегляне на приложение, вземете го от официалния магазин за приложения или уебсайта на доставчика на софтуера. И бъдете внимателни, когато щракате върху резултатите от търсенето или влизате в уебсайт - хакерите могат просто да платят, за да поставят своите измамни сайтове в горната част на резултатите от търсенето и да откраднат вашата информация за вход с внимателно изработени приличащи на уебсайтове.

ChatGPT няма да отиде никъде, както и зловредният софтуер, който причинява толкова много щети по целия свят. Въпреки че заплахата от способността за кодиране на ChatGPT може да е преувеличена засега, умението му да създава фишинг имейли може да причини всякакви главоболия. И все пак е много възможно да се предпазите от заплахата, която представлява и да сте сигурни, че няма да станете жертва. В момента изобилие от предпазливост — и солидно антивирусно приложение — може да ви помогне да запазите устройствата си здрави.

Препоръки на редакторите

• Google Bard вече може да говори, но може ли да заглуши ChatGPT?
• Трафикът на уебсайта на ChatGPT е спаднал за първи път
• Съперникът на Apple ChatGPT може автоматично да напише код вместо вас
• Адвокатите от Ню Йорк са глобени за използване на фалшиви случаи на ChatGPT в съдебна справка
• Този уеб браузър интегрира ChatGPT по завладяващ нов начин