ChatGPT è un disastro per la sicurezza informatica? Abbiamo chiesto agli esperti

ChatGPT sembra piuttosto inevitabile in questo momento, con le storie meravigliandosi delle sue capacità apparentemente ovunque guardi. Abbiamo visto come può scrivere musica, eseguire il rendering di animazioni 3D e comporre musica. Se riesci a pensarci, ChatGPT può probabilmente provarci.

Ed è proprio questo il problema. C'è ogni sorta di strizzacervelli nella comunità tecnologica in questo momento, con i commentatori che spesso si preoccupano che l'IA riguardi per portare a un'apocalisse di malware con anche gli hacker con il pollice verde che evocano trojan e ransomware inarrestabili.

Ma è davvero vero? Per scoprirlo, ho parlato con un certo numero di esperti di sicurezza informatica per vedere cosa hanno fatto delle capacità del malware di ChatGPT, se erano preoccupati per il suo potenziale uso improprio e cosa puoi fare per proteggerti in questo nuovo albeggiare mondo.

Capacità discutibili

Una delle principali attrazioni di ChatGPT è la sua capacità di eseguire compiti complicati con pochi semplici suggerimenti, specialmente nel mondo della programmazione. Il timore è che ciò abbasserebbe le barriere all'ingresso per la creazione di malware, rischiando potenzialmente una proliferazione di autori di virus che si affidano a strumenti di intelligenza artificiale per svolgere il lavoro pesante per loro.

Joshua Long, Chief Security Analyst presso la società di sicurezza Intego, illustra questo punto. "Come qualsiasi strumento nel mondo fisico o virtuale, il codice del computer può essere utilizzato per il bene o per il male", spiega. “Se richiedi un codice in grado di crittografare un file, ad esempio, un bot come ChatGPT non può conoscere le tue reali intenzioni. Se affermi di aver bisogno di un codice di crittografia per proteggere i tuoi file, il bot ti crederà, anche se il tuo vero obiettivo è creare ransomware.

ChatGPT dispone di varie protezioni per combattere questo genere di cose e il trucco per i creatori di virus è aggirare quei guardrail. Chiedi senza mezzi termini a ChatGPT di creare un virus efficace e si rifiuterà semplicemente, richiedendoti di essere creativo per superarlo in astuzia e convincerlo a fare le tue offerte contro il suo miglior giudizio. Considerando ciò che le persone sono in grado di fare jailbreak in ChatGPT, la possibilità di creare malware utilizzando l'intelligenza artificiale sembra possibile in teoria. Infatti, è già stato dimostrato, quindi sappiamo che è possibile.

Ma non tutti sono nel panico. Martin Zugec, direttore delle soluzioni tecniche di Bitdefender, ritiene che i rischi siano ancora piuttosto ridotti. “È probabile che la maggior parte degli autori di malware alle prime armi non possieda le competenze necessarie per aggirare queste misure di sicurezza misure, e quindi il rischio rappresentato dal malware generato dai chatbot rimane relativamente basso in questo momento", ha aggiunto dice.

"Ultimamente il malware generato da chatbot è stato un popolare argomento di discussione", continua Zugec, "ma al momento c'è nessuna prova che suggerisca che rappresenti una minaccia significativa nel prossimo futuro”. E c'è una semplice ragione per questo. Secondo Zugec, “la qualità del codice malware prodotto dai chatbot tende ad essere bassa, rendendola inferiore opzione interessante per autori di malware esperti che possono trovare esempi migliori nel codice pubblico depositi”.

Quindi, mentre ottenere ChatGPT per creare codice dannoso è certamente possibile, chiunque abbia le capacità necessario per manipolare il chatbot AI probabilmente non sarà impressionato dal codice scadente che crea, Zugec crede.

Ma come puoi immaginare, l'IA generativa è solo all'inizio. E per Long, ciò significa che i rischi di hacking posti da ChatGPT non sono ancora scolpiti nella pietra.

"È possibile che l'aumento dei robot IA basati su LLM possa portare a un aumento da piccolo a moderato del nuovo malware o a un miglioramento del malware capacità e l'evasione antivirus", afferma Long, utilizzando un acronimo per i grandi modelli linguistici che gli strumenti di intelligenza artificiale come ChatGPT utilizzano per costruire i loro conoscenza. "A questo punto, tuttavia, non è chiaro quale impatto diretto strumenti come ChatGPT stiano producendo o produrranno sulle minacce malware del mondo reale".

L'amico di un pescatore

Se le capacità di scrittura del codice di ChatGPT non sono ancora all'altezza, potrebbe essere una minaccia in altri modi, ad esempio scrivendo campagne di phishing e ingegneria sociale più efficaci? In questo caso, gli analisti concordano sul fatto che il potenziale di uso improprio è molto maggiore.

Per molte aziende, un potenziale vettore di attacco sono i dipendenti dell'azienda, che possono essere ingannati o manipolati per fornire inavvertitamente l'accesso dove non dovrebbero. Gli hacker lo sanno e ci sono stati molti attacchi di ingegneria sociale di alto profilo che si sono rivelati disastrosi. Ad esempio, si pensa che il gruppo Lazarus della Corea del Nord abbia iniziato la sua 2014 intrusione nei sistemi di Sony - con conseguente fuga di film inediti e informazioni personali - impersonando un reclutatore di lavoro e convincendo un dipendente Sony ad aprire un file infetto.

Questa è un'area in cui ChatGPT potrebbe aiutare notevolmente hacker e phisher a migliorare il proprio lavoro. Se l'inglese non è la lingua madre di un attore di minacce, ad esempio, potrebbe utilizzare un chatbot di intelligenza artificiale per scrivere un'e-mail di phishing convincente destinata a prendere di mira gli anglofoni. Oppure potrebbe essere utilizzato per creare rapidamente un gran numero di messaggi convincenti in molto meno tempo di quanto impiegherebbe gli attori delle minacce umane per svolgere lo stesso compito.

Le cose potrebbero peggiorare ulteriormente quando altri strumenti di intelligenza artificiale vengono inseriti nel mix. Come hanno ipotizzato Karen Renaud, Merrill Warkentin e George Westerman Sloan Management Review del MIT, un truffatore potrebbe generare uno script utilizzando ChatGPT e farlo leggere al telefono da una voce deepfake che impersona il CEO di un'azienda. Per un dipendente dell'azienda che riceve la chiamata, la voce suonerebbe - e si comporterebbe - proprio come il loro capo. Se quella voce ha chiesto al dipendente di trasferire una somma di denaro su un nuovo conto bancario, il dipendente potrebbe cadere nell'inganno a causa della deferenza che paga al suo capo.

Come afferma Long, “[gli attori della minaccia] non devono più fare affidamento sulle proprie (spesso imperfette) competenze in inglese per scrivere un'e-mail di truffa convincente. Né devono nemmeno inventare la loro formulazione intelligente ed eseguirla tramite Google Translate. Invece, ChatGPT, del tutto ignaro del potenziale intento dannoso dietro la richiesta, scriverà felicemente l'intero testo dell'e-mail di truffa in qualsiasi lingua desiderata.

E tutto ciò che è necessario per fare in modo che ChatGPT lo faccia effettivamente è un suggerimento intelligente.

ChatGPT può migliorare la tua sicurezza informatica?

Tuttavia, non è tutto negativo. Le stesse caratteristiche che rendono ChatGPT uno strumento attraente per gli attori delle minacce - la sua velocità, la sua capacità di trovare difetti nel codice - lo rendono una risorsa utile per i ricercatori di sicurezza informatica e le aziende antivirus.

Long sottolinea che i ricercatori stanno già utilizzando i chatbot di intelligenza artificiale per trovare non ancora scoperti ("zero-day") vulnerabilità nel codice, semplicemente caricando il codice e chiedendo a ChatGPT di vedere se è in grado di individuare eventuali potenziali debolezze. Ciò significa che la stessa metodologia che potrebbe indebolire le difese può essere utilizzata per sostenerle.

E mentre l'attrazione principale di ChatGPT per gli attori delle minacce potrebbe risiedere nella sua capacità di scrivere messaggi di phishing plausibili, quegli stessi talenti possono aiutare a formare aziende e utenti su cosa cercare per evitare di essere truffati loro stessi. Potrebbe anche essere utilizzato per decodificare il malware, aiutando i ricercatori e le società di sicurezza a sviluppare rapidamente contromisure.

In definitiva, ChatGPT di per sé non è intrinsecamente buono o cattivo. Come sottolinea Zugec, “l'argomento secondo cui l'intelligenza artificiale può facilitare lo sviluppo di malware potrebbe applicarsi a qualsiasi altro argomento progresso tecnologico che ha avvantaggiato gli sviluppatori, come il software open source o la condivisione del codice piattaforme”.

In altre parole, fintanto che le tutele continuano a migliorare, la minaccia rappresentata anche dal migliori chatbot AI potrebbe non diventare mai così pericoloso come è stato recentemente previsto.

Come tenerti al sicuro

Se sei preoccupato per le minacce poste dai chatbot di intelligenza artificiale e per il malware che possono essere sfruttati per creare, ci sono alcuni passaggi che puoi adottare per proteggerti. Zugec afferma che è importante adottare un "approccio di difesa a più livelli" che includa "l'implementazione di soluzioni di sicurezza degli endpoint, mantenendo software e sistemi aggiornatoe rimanendo vigili contro messaggi o richieste sospette."

Long, nel frattempo, consiglia di evitare i file che ti viene automaticamente richiesto di installare quando visiti un sito web. Quando si tratta di aggiornare o scaricare un'app, scaricarla dall'app store ufficiale o dal sito Web del fornitore del software. E fai attenzione quando fai clic sui risultati di ricerca o accedi a un sito Web: gli hacker possono semplicemente pagare per posizionare i loro siti truffa in cima ai risultati di ricerca e rubare le tue informazioni di accesso con siti web sosia realizzati con cura.

ChatGPT non andrà da nessuna parte, e nemmeno il malware che causa così tanti danni in tutto il mondo. Sebbene la minaccia derivante dall'abilità di codifica di ChatGPT possa essere esagerata per ora, la sua competenza nella creazione di e-mail di phishing potrebbe causare ogni tipo di mal di testa. Eppure è assolutamente possibile proteggersi dalla minaccia che rappresenta e assicurarsi di non cadere vittime. In questo momento, un'abbondanza di cautela e una solida app antivirus possono aiutarti a mantenere i tuoi dispositivi sani e salvi.

Raccomandazioni della redazione

• Google Bard ora può parlare, ma può soffocare ChatGPT?
• Il traffico del sito Web ChatGPT è diminuito per la prima volta
• Il rivale ChatGPT di Apple potrebbe scrivere automaticamente il codice per te
• Gli avvocati di New York sono stati multati per aver utilizzato falsi casi ChatGPT in casi legali
• Questo browser web integra ChatGPT in un modo nuovo e affascinante