ChatGPT 对网络安全的威胁比大多数人意识到的要大

一种名为ChatGPT的语言生成AI模型免费提供，已经风靡互联网。虽然人工智能有可能帮助IT和安全团队提高效率，但它也使威胁行为者能够开发恶意软件。

在接受 Help Net Security 采访时，Ivanti 首席安全官 Daniel Spicer 谈到了这项技术对网络安全的意义。

关于人工智能在网络安全中的应用，有哪些理由值得关注？

科技行业一直专注于创建生成人工智能，该人工智能响应命令或查询以生成文本、视频或音频内容。这种类型的人工智能无法分析和情境化数据和信息以提供理解。

目前，生成式人工智能的价值，如ChatGPT和DALL-E，是偏向于威胁行为者的。生成式 AI 为您提供您所要求的内容——这在制作网络钓鱼电子邮件时很有用。信息安全需要人工智能，它可以获取信息，通过额外的上下文增强信息，并根据其理解得出结论。

这就是为什么生成式 AI 解决的用例对威胁参与者极具吸引力的原因。关于威胁行为者应用人工智能的一个明显担忧与社会工程有关。人工智能可以毫不费力地创建大量复杂的网络钓鱼电子邮件。它还可以创建非常逼真的虚假配置文件。即使是以前被认为合理无机器人的地方，如LinkedIn，现在也有令人信服的个人资料，甚至包括个人资料图片。我们才刚刚开始看到影响。

我们还已经看到威胁行为者正在使用 ChatGPT 来开发恶意软件。虽然 ChatGPT 的代码编写能力的质量结果好坏参半，但专门从事代码开发的生成式 AI 可以加速恶意软件的开发。最终，我们将看到它有助于更快地利用漏洞 – 在漏洞披露后的几个小时内，而不是几天。

另一方面，人工智能有可能帮助IT和安全团队变得更加高效和有效，实现自动和/或半自动漏洞检测和修复以及基于风险的优先级。这使得可以分析数据的人工智能对于面临资源限制的IT和安全团队来说非常有前途，但不幸的是，这种类型的工具尚不存在，当它存在时，由于需要培训才能理解特定环境中的“正常”，因此实施起来可能很复杂。

该行业现在需要将注意力转向构建人工智能，以帮助防御者分析和解释大量数据。在我们看到人工智能工具能够理解的巨大改进之前，攻击者将继续拥有优势，因为今天的工具满足他们的要求。

ChatGPT 已实施检查以防止恶意使用。这些检查是否足以阻止网络犯罪分子？

一句话，没有。到目前为止，ChatGPT实施的检查是无效的。例如，研究人员发现，您向 ChatGPT 提问的方式会显着改变其响应，包括拒绝恶意请求的有效性。根据您为生成AI工具提供的命令，可以将恶意软件攻击的所有步骤拼凑在一起。这种情况的一个好处是 ChatGPT 目前没有写出好的代码——但这种情况会改变。

ChatGPT 的部署应该被视为一个大型的演示体验。这是他们的测试版发布。生成式人工智能将继续变得更好——它已经降低了网络钓鱼攻击的门槛——未来我们将拥有能够开发恶意软件的更好版本的技术。

这将改变恶意软件开发人员和AV / EDR供应商之间的军备竞赛，因为以代码为中心的AI可以操纵代码来改变设计，而不是传统的打包服务。

我们不能把精灵放回瓶子里。威胁行为者在其攻击武器库中使用生成式人工智能是必然的，现在我们需要专注于如何防御这种新威胁。

ChatGPT 会被没有技术知识的攻击者滥用吗？

可以肯定的是，ChatGPT 将大大降低威胁参与者基于技能的进入成本。目前，威胁的复杂性或多或少与威胁行为者的复杂性有关，但ChatGPT 已经将恶意软件空间开放到一个全新的新手威胁参与者水平，他们有一天将能够更容易地远远超过他们的体重。

这是令人震惊的，因为它不仅扩大了潜在威胁的数量和潜在威胁行为者的数量，而且还使那些几乎不知道自己在做什么的人更有可能加入战斗。即使在恶意软件领域，也存在前所未有的固有鲁莽行为。

但这仍然有其挑战。由于我们知道该技术是成功的，我们将看到迭代和改进。

在ChatGPT的未来版本中会发生什么，用户可以连接到查找漏洞的工具？

网络安全领域已经面临着控制大量代码漏洞的挑战。人工智能将把这些数字推得更高，因为它在发现漏洞方面既更快又更聪明。结合人工智能编码人员，我们可以在几分钟内看到新发现的漏洞的武器化，而不是几天。

需要明确的是，人工智能目前还没有更好或更快，但我们预计这种情况会发生。总有一天，我们将看到漏洞检测、漏洞武器化和有效载荷都是由人工智能完成的，无需人工干预。

Check Point研究人员演示了ChatGPT如何创建合理的网络钓鱼电子邮件。一旦攻击者开始使用 AI，您预计威胁将如何演变？

同样，人工智能使技术知识有限的人更快、更容易访问，以产生大量逼真的网络钓鱼攻击和虚假个人资料。由于这个入口相对较新，因此在这一点上，它对菜鸟威胁演员来说有点混战。但是，随着威胁行为者对人工智能越来越熟悉，我们将看到这种复杂性随着威胁行为者相互竞争以获得访问权限和知名度而增长。

未来，我们将拥有能够完成整个攻击链的人工智能——从起草网络钓鱼电子邮件开始。人工智能将能够使用现成的工具来确定环境范围并快速确定进入勒索软件组织的最佳途径，这并不牵强。它将能够确定网络、布局和架构，然后操纵工具链来混淆有效载荷，以避免被防御者检测到。所有这些都无需任何人按下另一个按钮。这对另一边的人来说不是好消息。