Czy ChatGPT to katastrofa w zakresie cyberbezpieczeństwa? Zapytaliśmy ekspertów

ChatGPT wydaje się teraz całkiem nieunikniony, z opowieściami zachwycając się jego możliwościami pozornie wszędzie, gdzie spojrzysz. Widzieliśmy, jak może pisać muzykę, renderować animacje 3D i komponować muzykę. Jeśli możesz o tym pomyśleć, ChatGPT prawdopodobnie może spróbować.

I to jest właśnie problem. Społeczność technologiczna ma teraz do czynienia z wszelkiego rodzaju załamywaniem rąk, a komentatorzy często martwią się, że sztuczna inteligencja dotyczy doprowadzić do apokalipsy szkodliwego oprogramowania, w której nawet najbardziej ostrożni hakerzy będą tworzyć niepowstrzymane trojany i ransomware.

Ale czy to rzeczywiście prawda? Aby się tego dowiedzieć, rozmawiałem z wieloma ekspertami ds. cyberbezpieczeństwa, aby zobaczyć, co sądzą o możliwościach złośliwego oprogramowania ChatGPT, czy byli zaniepokojeni jego potencjałem do nadużyć i co możesz zrobić, aby się chronić w tej nadchodzącej nowości świat.

Wątpliwe umiejętności

Jedną z głównych atrakcji ChatGPT jest możliwość wykonywania skomplikowanych zadań za pomocą zaledwie kilku prostych podpowiedzi, szczególnie w świecie programowania. Istnieje obawa, że ​​obniżyłoby to bariery wejścia dla tworzenia złośliwego oprogramowania, potencjalnie ryzykując rozprzestrzenianie się twórców wirusów, którzy polegają na narzędziach sztucznej inteligencji, które wykonują za nich ciężkie prace.

Ilustruje to Joshua Long, główny analityk bezpieczeństwa w firmie ochroniarskiej Intego. „Jak każde narzędzie w świecie fizycznym lub wirtualnym, kod komputerowy może być użyty do czynienia dobra lub zła” — wyjaśnia. „Jeśli na przykład poprosisz o kod, który może zaszyfrować plik, bot taki jak ChatGPT nie może poznać twoich prawdziwych zamiarów. Jeśli twierdzisz, że potrzebujesz kodu szyfrującego do ochrony własnych plików, bot ci uwierzy — nawet jeśli twoim prawdziwym celem jest stworzenie oprogramowania ransomware”.

ChatGPT ma różne zabezpieczenia do zwalczania tego rodzaju rzeczy, a sztuczka dla twórców wirusów polega na ominięciu tych barier. Bez ogródek poproś ChatGPT o stworzenie skutecznego wirusa, a on po prostu odmówi, wymagając od ciebie kreatywności, aby go przechytrzyć i skłonić do wykonania twoich rozkazów wbrew jego rozsądkowi. Biorąc pod uwagę, do czego ludzie są zdolni jailbreak w ChatGPT, możliwość tworzenia złośliwego oprogramowania przy użyciu sztucznej inteligencji wydaje się teoretycznie możliwa. W rzeczywistości, zostało to już zademonstrowane, więc wiemy, że jest to możliwe.

Ale nie wszyscy panikują. Martin Zugec, dyrektor ds. rozwiązań technicznych w Bitdefender, uważa, że ​​ryzyko jest nadal dość niewielkie. „Większość początkujących twórców złośliwego oprogramowania prawdopodobnie nie posiada umiejętności wymaganych do obejścia tych zabezpieczeń środków, a zatem ryzyko stwarzane przez złośliwe oprogramowanie generowane przez chatbota pozostaje obecnie stosunkowo niskie” – powiedział mówi.

„Złośliwe oprogramowanie generowane przez Chatbota było ostatnio popularnym tematem dyskusji”, kontynuuje Zugec, „ale obecnie jest nie ma dowodów sugerujących, że stanowi poważne zagrożenie w najbliższej przyszłości”. I jest ku temu prosty powód. Według Zugeca „jakość kodu złośliwego oprogramowania wytwarzanego przez chatboty jest zwykle niska, co czyni ją niższą atrakcyjna opcja dla doświadczonych twórców złośliwego oprogramowania, którzy mogą znaleźć lepsze przykłady w kodzie publicznym repozytoria”.

Tak więc, choć skłonienie ChatGPT do tworzenia złośliwego kodu jest z pewnością możliwe, każdy, kto ma odpowiednie umiejętności potrzebny do manipulowania chatbotem AI prawdopodobnie nie będzie pod wrażeniem kiepskiego kodu, który tworzy, Zugec wierzy.

Ale jak można się domyślić, generatywna sztuczna inteligencja dopiero się zaczyna. A dla Longa oznacza to, że zagrożenia hakerskie stwarzane przez ChatGPT nie są jeszcze ustalone.

„Możliwe, że wzrost liczby botów AI opartych na LLM może doprowadzić do niewielkiego lub umiarkowanego wzrostu liczby nowych złośliwych programów lub poprawy złośliwego oprogramowania możliwości i unikanie antywirusów”, mówi Long, używając akronimu dla dużych modeli językowych, których narzędzia sztucznej inteligencji, takie jak ChatGPT, używają do budowania swoich wiedza. „W tym momencie nie jest jednak jasne, jaki bezpośredni wpływ narzędzia, takie jak ChatGPT, wywierają lub wywrą na rzeczywiste zagrożenia złośliwym oprogramowaniem”.

Przyjaciel wędkarza

Jeśli umiejętności pisania kodu ChatGPT nie są jeszcze na odpowiednim poziomie, czy może to stanowić zagrożenie w inny sposób, na przykład poprzez pisanie skuteczniejszych kampanii phishingowych i socjotechnicznych? W tym przypadku analitycy zgadzają się, że potencjał do nadużyć jest znacznie większy.

W przypadku wielu firm jednym z potencjalnych wektorów ataku są pracownicy firmy, których można oszukać lub zmanipulować, aby nieumyślnie zapewnili dostęp tam, gdzie nie powinni. Hakerzy o tym wiedzą i było wiele głośnych ataków socjotechnicznych, które okazały się katastrofalne. Na przykład uważa się, że grupa Lazarus z Korei Północnej rozpoczęła swoją działalność 2014 włamanie do systemów Sony — w wyniku którego doszło do wycieku niewydanych filmów i danych osobowych — poprzez podszywanie się pod osobę rekrutującą do pracy i nakłanianie pracownika Sony do otwarcia zainfekowanego pliku.

Jest to jeden z obszarów, w których ChatGPT może radykalnie pomóc hakerom i phisherom usprawnić ich pracę. Na przykład, jeśli angielski nie jest językiem ojczystym cyberprzestępcy, może on użyć chatbota AI do napisania dla niego przekonującej wiadomości phishingowej, która jest skierowana do osób mówiących po angielsku. Można go też wykorzystać do szybkiego tworzenia dużej liczby przekonujących wiadomości w znacznie krótszym czasie, niż wykonanie tego samego zadania zajęłoby ludziom.

Sytuacja może się jeszcze pogorszyć, gdy do miksu zostaną wrzucone inne narzędzia sztucznej inteligencji. Jak postulowali Karen Renaud, Merrill Warkentin i George Westerman w Przegląd zarządzania Sloan MIT, oszust może wygenerować skrypt za pomocą ChatGPT i zlecić jego odczytanie przez telefon za pomocą głębokiego fałszywego głosu, który podszywa się pod dyrektora generalnego firmy. Dla pracownika firmy odbierającego połączenie głos brzmiałby — i zachowywałby się — tak jak jego szef. Jeśli ten głos poprosił pracownika o przelanie pewnej sumy pieniędzy na nowe konto bankowe, pracownik może dać się nabrać na podstęp ze względu na szacunek, jaki okazują swojemu szefowi.

Jak to ujął Long, „[aktorzy zagrożeń] nie muszą już polegać na własnej (często niedoskonałej) znajomości języka angielskiego, aby napisać przekonującą oszukańczą wiadomość e-mail. Nie mogą też wymyślać własnych sprytnych sformułowań i uruchamiać ich w Tłumaczu Google. Zamiast tego ChatGPT — całkowicie nieświadomy potencjalnych złośliwych zamiarów kryjących się za żądaniem — z radością napisze cały tekst oszukańczej wiadomości e-mail w dowolnym języku”.

A wszystko, czego potrzeba, aby ChatGPT faktycznie to zrobił, to sprytna zachęta.

Czy ChatGPT może zwiększyć Twoje cyberbezpieczeństwo?

Jednak nie wszystko jest złe. Te same cechy, które sprawiają, że ChatGPT jest atrakcyjnym narzędziem dla cyberprzestępców — jego szybkość, zdolność do znajdowania błędów w kodzie — sprawiają, że jest to pomocne źródło informacji dla badaczy cyberbezpieczeństwa i firm antywirusowych.

Long zwraca uwagę, że badacze już używają chatbotów AI do znajdowania jeszcze nieodkrytych („zero-day”) luki w kodzie, po prostu przesyłając kod i prosząc ChatGPT, aby sprawdził, czy może wykryć potencjalne Słabości. Oznacza to, że ta sama metodologia, która mogłaby osłabić obronę, może zostać wykorzystana do jej wzmocnienia.

I choć główną atrakcją ChatGPT dla cyberprzestępców może być jego zdolność do pisania wiarygodnych wiadomości phishingowych, te same talenty mogą pomóc w szkoleniu firm i użytkowników w zakresie tego, na co należy zwrócić uwagę, aby uniknąć oszustwa sobie. Można go również wykorzystać do inżynierii wstecznej złośliwego oprogramowania, pomagając badaczom i firmom zajmującym się bezpieczeństwem w szybkim opracowaniu środków zaradczych.

Ostatecznie sam ChatGPT nie jest z natury dobry ani zły. Jak zauważa Zugec: „Argument, że sztuczna inteligencja może ułatwiać rozwój złośliwego oprogramowania, można zastosować do każdego innego postęp technologiczny, który przyniósł korzyści programistom, taki jak oprogramowanie typu open source lub współdzielenie kodu platformy”.

Innymi słowy, dopóki zabezpieczenia będą się poprawiać, zagrożenie stwarzane nawet przez najlepsze chatboty AI może nigdy nie stać się tak niebezpieczny, jak ostatnio przewidywano.

Jak zapewnić sobie bezpieczeństwo

Jeśli martwisz się zagrożeniami stwarzanymi przez chatboty AI i złośliwym oprogramowaniem, do którego tworzenia mogą być wykorzystywane, możesz podjąć pewne kroki, aby się zabezpieczyć. Zugec mówi, że ważne jest przyjęcie „wielowarstwowego podejścia do obrony”, które obejmuje „wdrażanie rozwiązań zabezpieczających punkty końcowe, utrzymywanie oprogramowania i systemów aktualnyi zachowywać czujność wobec podejrzanych wiadomości lub próśb”.

Tymczasem Long zaleca unikanie plików, których zainstalowanie jest automatycznie wyświetlane podczas odwiedzania strony internetowej. Jeśli chodzi o aktualizowanie lub pobieranie aplikacji, pobierz ją z oficjalnego sklepu z aplikacjami lub witryny internetowej dostawcy oprogramowania. Zachowaj ostrożność podczas klikania wyników wyszukiwania lub logowania się na stronie internetowej — hakerzy mogą po prostu zapłacić za umieszczenie swoich oszukańczych witryn na górze wyników wyszukiwania i ukraść dane logowania za pomocą starannie wykonane podobne strony internetowe.

ChatGPT nigdzie się nie wybiera, podobnie jak złośliwe oprogramowanie, które powoduje tak wiele szkód na całym świecie. Podczas gdy zagrożenie związane ze zdolnością kodowania ChatGPT może być na razie przesadzone, jego biegłość w tworzeniu e-maili phishingowych może powodować różnego rodzaju bóle głowy. Jednak bardzo możliwe jest zabezpieczenie się przed zagrożeniem, jakie stanowi, i upewnienie się, że nie padniesz ofiarą. W tej chwili duża ostrożność — i solidna aplikacja antywirusowa — mogą pomóc w zapewnieniu bezpieczeństwa i dobrego stanu urządzeń.

Zalecenia redaktorów

• Google Bard może teraz mówić, ale czy może zagłuszyć ChatGPT?
• Ruch na stronie ChatGPT spadł po raz pierwszy
• Rywal Apple ChatGPT może automatycznie napisać dla ciebie kod
• Prawnicy z Nowego Jorku ukarani grzywną za używanie fałszywych przypadków ChatGPT w skrócie prawnym
• Ta przeglądarka internetowa integruje ChatGPT w fascynujący nowy sposób