Är ChatGPT en cybersäkerhetskatastrof? Vi frågade experterna

ChatGPT känns ganska ofrånkomligt just nu, med berättelser förundras över dess förmågor till synes överallt du tittar. Vi har sett hur den kan skriva musik, rendera 3D-animationer och komponera musik. Om du kan tänka på det, kan ChatGPT förmodligen ta ett försök på det.

Och det är just det som är problemet. Det finns alla möjliga handvridningar i teknikgemenskapen just nu, med kommentatorer som ofta oroar sig för att AI handlar om att leda till en apokalyps av skadlig programvara med även de mest grönfingrade hackare som frammanar ostoppbara trojaner och ransomware.

Men är detta verkligen sant? För att ta reda på det pratade jag med ett antal cybersäkerhetsexperter för att se vad de gjorde av ChatGPT: s skadliga förmågor, om de var oroliga över dess potential för missbruk och vad du kan göra för att skydda dig själv i detta gryende nya värld.

Tveksamma förmågor

En av huvudattraktionerna med ChatGPT är dess förmåga att utföra komplicerade uppgifter med bara några enkla uppmaningar, särskilt i programmeringsvärlden. Rädslan är att detta skulle sänka inträdesbarriärerna för att skapa skadlig programvara, vilket potentiellt riskerar en spridning av virusskribenter som förlitar sig på AI-verktyg för att göra det tunga arbetet åt dem.

Joshua Long, chefssäkerhetsanalytiker på säkerhetsföretaget Intego, illustrerar detta. "Som alla verktyg i den fysiska eller virtuella världen kan datorkod användas på gott och ont", förklarar han. "Om du begär kod som kan kryptera en fil, till exempel, kan en bot som ChatGPT inte veta din verkliga avsikt. Om du hävdar att du behöver krypteringskod för att skydda dina egna filer, kommer boten att tro dig – även om ditt verkliga mål är att skapa ransomware.”

ChatGPT har olika skyddsåtgärder på plats för att bekämpa den här typen av saker, och tricket för virusskapare är att kringgå dessa skyddsräcken. Fråga rakt ut ChatGPT att skapa ett effektivt virus och det kommer helt enkelt att vägra, vilket kräver att du blir kreativ för att överlista det och få det att göra ditt bud mot dess bättre omdöme. Med tanke på vad folk kan göra med jailbreaks i ChatGPT, möjligheten att skapa skadlig programvara med hjälp av AI känns möjlig i teorin. Faktiskt, det har redan demonstrerats, så vi vet att det är möjligt.

Men alla har inte panik. Martin Zugec, Technical Solutions Director på Bitdefender, tror att riskerna fortfarande är ganska små. "Majoriteten av nybörjare som skriver om skadlig programvara kommer sannolikt inte att ha de färdigheter som krävs för att kringgå denna säkerhet åtgärder, och därför är risken för chatbot-genererad skadlig kod fortfarande relativt låg vid denna tidpunkt, säger han säger.

"Chatbot-genererad skadlig programvara har varit ett populärt diskussionsämne på sistone", fortsätter Zugec, "men det finns för närvarande inga bevis som tyder på att det utgör ett betydande hot inom en snar framtid." Och det finns en enkel anledning till det. Enligt Zugec tenderar kvaliteten på skadlig kod som produceras av chatbots att vara låg, vilket gör den mindre attraktivt alternativ för erfarna skribenter av skadlig programvara som kan hitta bättre exempel i offentlig kod förråd.”

Så även om det verkligen är möjligt att få ChatGPT att skapa skadlig kod, alla som har kompetensen som behövs för att manipulera AI-chattboten är sannolikt inte imponerad av den dåliga koden den skapar, Zugec tror.

Men som du kanske gissar har generativ AI bara börjat. Och för länge betyder det att hackariskerna som ChatGPT utgör inte är huggna i sten ännu.

"Det är möjligt att ökningen av LLM-baserade AI-bots kan leda till en liten till måttlig ökning av ny skadlig programvara eller en förbättring av skadlig programvara kapacitet och antivirusundandragande, säger Long och använder en förkortning för de stora språkmodellerna som AI-verktyg som ChatGPT använder för att bygga sina kunskap. "I dagsläget är det dock inte klart hur stor direkt inverkan verktyg som ChatGPT gör, eller kommer att göra, på verkliga skadliga hot."

En fiskares vän

Om ChatGPT: s kodskrivande färdigheter ännu inte är på noll, kan det vara ett hot på andra sätt, till exempel genom att skriva mer effektiva nätfiske- och sociala ingenjörskampanjer? Här är analytikerna överens om att det finns mycket större risk för missbruk.

För många företag är en potentiell attackvektor företagets anställda, som kan luras eller manipuleras till att oavsiktligt ge åtkomst där de inte borde. Hackare vet detta, och det har förekommit massor av högprofilerade sociala ingenjörsattacker som har visat sig vara katastrofala. Till exempel tror man att Nordkoreas Lazarus Group startade sitt 2014 intrång i Sonys system — vilket resulterar i läckage av osläppta filmer och personlig information — genom att utge sig för att vara en jobbrekryterare och få en Sony-anställd att öppna en infekterad fil.

Detta är ett område där ChatGPT dramatiskt kan hjälpa hackare och nätfiskare att förbättra sitt arbete. Om engelska inte är en hotaktörs modersmål, till exempel, kan de använda en AI-chatbot för att skriva ett övertygande nätfiske-e-postmeddelande för dem som är avsett att rikta sig till engelsktalande. Eller så kan det användas för att snabbt skapa ett stort antal övertygande meddelanden på mycket kortare tid än det skulle ta mänskliga hotaktörer för att utföra samma uppgift.

Saker och ting kan bli ännu värre när andra AI-verktyg kastas in i mixen. Som Karen Renaud, Merrill Warkentin och George Westerman har postulerat i MIT: s Sloan Management Review, kan en bedragare skapa ett manus med ChatGPT och få det uppläst över telefon av en djupt falsk röst som utger sig för att vara ett företags VD. För en företagsanställd som tar emot samtalet låter rösten - och agerar - precis som deras chef. Om den rösten bad den anställde att överföra en summa pengar till ett nytt bankkonto, kan den anställde mycket väl falla för listen på grund av den respekt de betalar till sin chef.

Som Long uttrycker det, "[hotskådespelare] behöver inte längre förlita sig på sina egna (ofta ofullkomliga) engelska kunskaper för att skriva ett övertygande bluffmejl. De får inte heller ens komma på sina egna smarta formuleringar och köra den genom Google Translate. Istället kommer ChatGPT – helt omedvetet om potentialen för illvilliga avsikter bakom begäran – med glädje att skriva hela texten i bedrägeri-e-postmeddelandet på vilket språk som helst.”

Och allt som krävs för att få ChatGPT att faktiskt göra detta är en smart uppmaning.

Kan ChatGPT öka din cybersäkerhet?

Ändå är allt inte dåligt. Samma egenskaper som gör ChatGPT till ett attraktivt verktyg för hotaktörer – dess hastighet, dess förmåga att hitta brister i kod – gör det till en användbar resurs för cybersäkerhetsforskare och antivirusföretag.

Long påpekar att forskare redan använder AI-chatbots för att hitta ännu oupptäckta ("nolldagar") sårbarheter i koden, helt enkelt genom att ladda upp koden och be ChatGPT för att se om den kan upptäcka någon potential svagheter. Det betyder att samma metod som kan försvaga försvaret kan användas för att stödja dem.

Och medan ChatGPT: s främsta attraktion för hotaktörer kan ligga i dess förmåga att skriva rimliga nätfiskemeddelanden, samma talanger kan hjälpa till att utbilda företag och användare om vad man ska hålla utkik efter för att undvika att bli lurad sig själva. Det skulle också kunna användas för att omvandla skadlig programvara, vilket hjälper forskare och säkerhetsföretag att snabbt utveckla motåtgärder.

I slutändan är ChatGPT i sig inte i sig bra eller dåligt. Som Zugec påpekar, "Argumentet att AI kan underlätta utvecklingen av skadlig programvara kan gälla alla andra tekniska framsteg som har gynnat utvecklare, till exempel programvara med öppen källkod eller koddelning plattformar.”

Med andra ord, så länge skyddsåtgärderna fortsätter att förbättras, hotet som utgörs av till och med bästa AI chatbots kan aldrig bli så farligt som nyligen förutspåtts.

Hur du håller dig säker

Om du är orolig över hoten från AI-chatbotar och skadlig programvara som de kan missbrukas för att skapa, finns det några steg du kan vidta för att skydda dig själv. Zugec säger att det är viktigt att anta en "försvarsstrategi i flera lager" som inkluderar "implementering av slutpunktssäkerhetslösningar, behålla mjukvara och system aktuell, och förbli vaksam mot misstänkta meddelanden eller förfrågningar."

Long, under tiden, rekommenderar att du undviker filer som du automatiskt uppmanas att installera när du besöker en webbplats. När det gäller att uppdatera eller ladda ner en app, skaffa den från den officiella appbutiken eller webbplatsen för programvaruleverantören. Och var försiktig när du klickar på sökresultat eller loggar in på en webbplats – hackare kan helt enkelt betala för att placera sina bluffsajter högst upp i sökresultaten och stjäla din inloggningsinformation med noggrant utformade lookalike-webbplatser.

ChatGPT kommer ingenstans, och inte heller skadlig programvara som orsakar så mycket skada över hela världen. Även om hotet från ChatGPT: s kodningsförmåga kan vara överdrivet för tillfället, kan dess skicklighet att skapa nätfiske-e-postmeddelanden orsaka alla möjliga huvudvärk. Ändå är det mycket möjligt att skydda dig själv från hotet det utgör och se till att du inte blir offer. Just nu kan ett överflöd av försiktighet – och en solid antivirusapp – hjälpa till att hålla dina enheter säkra och sunda.

Redaktörens rekommendationer

• Google Bard kan nu tala, men kan det överrösta ChatGPT?
• ChatGPTs webbplatstrafik har minskat för första gången
• Apples ChatGPT-konkurrent kan automatiskt skriva kod åt dig
• New Yorks advokater bötfälldes för att ha använt falska ChatGPT-fall i juridisk korthet
• Denna webbläsare integrerar ChatGPT på ett fascinerande nytt sätt