Er ChatGPT en cybersikkerhetskatastrofe? Vi spurte ekspertene

ChatGPT føles ganske uunngåelig akkurat nå, med historier undre seg over dens evner tilsynelatende overalt hvor du ser. Vi har sett hvordan den kan skrive musikk, gjengi 3D-animasjoner og komponere musikk. Hvis du kan tenke deg det, kan ChatGPT sannsynligvis ta en sjanse på det.

Og det er akkurat det som er problemet. Det er all slags håndgrep i teknologimiljøet akkurat nå, med kommentatorer som ofte bekymrer seg for at AI handler om å føre til en malware-apokalypse med selv de mest grønnfingrede hackere som tryller frem ustoppelige trojanere og løsepengeprogramvare.

Men er dette faktisk sant? For å finne ut av det snakket jeg med en rekke cybersikkerhetseksperter for å se hva de gjorde av ChatGPTs malware-evner, om de var bekymret for potensialet for misbruk, og hva du kan gjøre for å beskytte deg selv i denne gryende nye verden.

Tvilsomme evner

En av hovedattraksjonene til ChatGPT er dens evne til å utføre kompliserte oppgaver med bare noen få enkle spørsmål, spesielt i programmeringsverdenen. Frykten er at dette vil senke adgangsbarrierene for å lage skadelig programvare, og potensielt risikere en spredning av virusforfattere som er avhengige av AI-verktøy for å gjøre det tunge løftet for dem.

Joshua Long, Chief Security Analyst hos sikkerhetsfirmaet Intego, illustrerer dette poenget. "Som ethvert verktøy i den fysiske eller virtuelle verdenen, kan datakode brukes på godt eller ondt," forklarer han. "Hvis du ber om kode som kan kryptere en fil, for eksempel, kan ikke en bot som ChatGPT vite din virkelige hensikt. Hvis du hevder at du trenger krypteringskode for å beskytte dine egne filer, vil boten tro deg – selv om målet ditt er å lage løsepengeprogramvare.»

ChatGPT har forskjellige sikkerhetstiltak på plass for å bekjempe denne typen ting, og trikset for virusskapere er å omgå disse autovernene. Spør ChatGPT rett ut om å lage et effektivt virus, og det vil rett og slett nekte, og krever at du blir kreativ for å overliste det og få det til å gjøre ditt bud mot bedre dømmekraft. Med tanke på hva folk kan gjøre med jailbreaks i ChatGPT, føles muligheten for å lage skadevare ved hjelp av AI mulig i teorien. Faktisk, det er allerede demonstrert, så vi vet at det er mulig.

Men ikke alle får panikk. Martin Zugec, direktør for tekniske løsninger hos Bitdefender, mener risikoen fortsatt er ganske liten. "Flertallet av nybegynnere som skriver malware har sannsynligvis ikke ferdighetene som kreves for å omgå denne sikkerheten tiltak, og derfor er risikoen for chatbot-generert skadelig programvare relativt lav på dette tidspunktet,» han sier.

"Chatbot-generert skadelig programvare har vært et populært diskusjonstema i det siste," fortsetter Zugec, "men det er for øyeblikket ingen bevis som tyder på at det utgjør en betydelig trussel i nær fremtid." Og det er en enkel grunn til det. I følge Zugec har "kvaliteten på skadelig programvare produsert av chatbots en tendens til å være lav, noe som gjør den til en mindre attraktivt alternativ for erfarne skadevareforfattere som kan finne bedre eksempler i offentlig kode depoter."

Så selv om det absolutt er mulig å få ChatGPT til å lage ondsinnet kode, er alle som har ferdighetene nødvendig for å manipulere AI-chatboten vil sannsynligvis ikke være imponert over den dårlige koden den lager, Zugec mener.

Men som du kanskje gjetter, er generativ AI bare så vidt i gang. Og for lenge betyr det at hackingrisikoen som ChatGPT utgjør, ikke er satt i stein ennå.

"Det er mulig at økningen av LLM-baserte AI-roboter kan føre til en liten til moderat økning i ny skadelig programvare, eller en forbedring av skadelig programvare funksjoner og antivirusunndragelse," sier Long, og bruker et akronym for de store språkmodellene som AI-verktøy som ChatGPT bruker for å bygge deres kunnskap. "På dette tidspunktet er det imidlertid ikke klart hvor stor direkte innvirkning verktøy som ChatGPT gjør, eller vil ha, på trusler mot skadelig programvare i den virkelige verden."

En fiskers venn

Hvis ChatGPTs kodeskrivingsferdigheter ennå ikke er opp til bunnen av, kan det være en trussel på andre måter, for eksempel ved å skrive mer effektive phishing- og sosiale ingeniørkampanjer? Her er analytikerne enige om at det er mye større potensiale for misbruk.

For mange selskaper er en potensiell angrepsvektor firmaets ansatte, som kan bli lurt eller manipulert til å utilsiktet gi tilgang der de ikke burde. Hackere vet dette, og det har vært mange høyprofilerte angrep på sosialt ingeniørarbeid som har vist seg å være katastrofale. For eksempel antas det at Nord-Koreas Lazarus Group startet opp 2014 inntrenging i Sonys systemer — som resulterer i lekkasje av uutgitte filmer og personlig informasjon — ved å utgi seg for å være en jobbrekrutterer og få en Sony-ansatt til å åpne en infisert fil.

Dette er et område hvor ChatGPT dramatisk kan hjelpe hackere og phishere med å forbedre arbeidet sitt. Hvis engelsk ikke er en trusselaktørs morsmål, for eksempel, kan de bruke en AI-chatbot til å skrive en overbevisende phishing-e-post for dem som er ment å målrette engelsktalende. Eller det kan brukes til å raskt lage et stort antall overbevisende meldinger på mye kortere tid enn det ville ta menneskelige trusselaktører for å gjøre den samme oppgaven.

Ting kan bli enda verre når andre AI-verktøy blir kastet inn i blandingen. Som Karen Renaud, Merrill Warkentin og George Westerman har postulert i MITs Sloan Management Review, kan en svindler generere et skript ved hjelp av ChatGPT og få det lest opp over telefonen av en dypfalsk stemme som utgir seg for å være en bedrifts administrerende direktør. For en bedriftsansatt som mottar anropet, ville stemmen høres ut - og handle - akkurat som sjefen deres. Hvis den stemmen ba den ansatte om å overføre en sum penger til en ny bankkonto, kan den ansatte godt falle for listen på grunn av respekten de betaler sjefen sin.

Som Long sier det, "[trusselaktører] trenger ikke lenger å stole på sine egne (ofte ufullkomne) engelskkunnskaper for å skrive en overbevisende svindel-e-post. De må heller ikke engang komme med sin egen smarte formulering og kjøre den gjennom Google Translate. I stedet vil ChatGPT – helt uvitende om potensialet for ondsinnet hensikt bak forespørselen – gjerne skrive hele teksten til svindel-e-posten på et hvilket som helst språk.»

Og alt som kreves for å få ChatGPT til å faktisk gjøre dette, er en smart oppfordring.

Kan ChatGPT øke cybersikkerheten din?

Likevel er ikke alt ille. De samme egenskapene som gjør ChatGPT til et attraktivt verktøy for trusselaktører – hastigheten, evnen til å finne feil i kode – gjør den til en nyttig ressurs for cybersikkerhetsforskere og antivirusfirmaer.

Long påpeker at forskere allerede bruker AI-chatbots for å finne ennå uoppdagede ("nulldager") sårbarheter i kode, ganske enkelt ved å laste opp koden og spørre ChatGPT for å se om den kan oppdage noe potensial svakheter. Det betyr at den samme metoden som kan svekke forsvar kan brukes til å støtte dem opp.

Og mens ChatGPTs hovedattraksjon for trusselaktører kan ligge i evnen til å skrive plausible phishing-meldinger, de samme talentene kan hjelpe med å lære opp bedrifter og brukere om hva de skal se etter for å unngå å bli svindlet dem selv. Det kan også brukes til å reversere skadelig programvare, og hjelpe forskere og sikkerhetsfirmaer med å raskt utvikle mottiltak.

Til syvende og sist er ikke ChatGPT i seg selv bra eller dårlig. Som Zugec påpeker, "Argumentet om at AI kan lette utviklingen av skadelig programvare kan gjelde for alle andre teknologiske fremskritt som har kommet utviklere til gode, for eksempel programvare med åpen kildekode eller kodedeling plattformer."

Med andre ord, så lenge sikkerhetstiltakene fortsetter å bli bedre, vil trusselen som utgjøres av selv beste AI chatbots kan aldri bli så farlig som nylig har blitt spådd.

Hvordan holde deg trygg

Hvis du er bekymret for truslene fra AI-chatboter og skadelig programvare de kan misbrukes til å lage, er det noen skritt du kan ta for å beskytte deg selv. Zugec sier det er viktig å ta i bruk en "flerlags forsvarstilnærming" som inkluderer "implementering av endepunktsikkerhetsløsninger, beholde programvare og systemer oppdatert, og forbli årvåken mot mistenkelige meldinger eller forespørsler.»

Long anbefaler i mellomtiden å unngå filer som du automatisk blir bedt om å installere når du besøker et nettsted. Når det gjelder å oppdatere eller laste ned en app, kan du få den fra den offisielle appbutikken eller nettstedet til programvareleverandøren. Og vær forsiktig når du klikker på søkeresultater eller logger på et nettsted – hackere kan ganske enkelt betale for å plassere svindelnettstedene deres øverst i søkeresultatene og stjele påloggingsinformasjonen din med nøye utformede lookalike-nettsteder.

ChatGPT går ingen steder, og det er heller ikke skadelig programvare som forårsaker så mye skade over hele verden. Selv om trusselen fra ChatGPTs kodingsevne kan være overdreven foreløpig, kan dens ferdigheter til å lage phishing-e-poster forårsake all slags hodepine. Likevel er det veldig mulig å beskytte deg selv mot trusselen den utgjør og sikre at du ikke blir offer. Akkurat nå kan en overflod av forsiktighet – og en solid antivirusapp – hjelpe til med å holde enhetene dine trygge og sunne.

Redaktørenes anbefalinger

• Google Bard kan nå snakke, men kan det overdøve ChatGPT?
• ChatGPT-nettstedstrafikken har falt for første gang
• Apples ChatGPT-rival kan automatisk skrive kode for deg
• NY advokater bøtelagt for å bruke falske ChatGPT-saker i juridisk korthet
• Denne nettleseren integrerer ChatGPT på en fascinerende ny måte