Un modèle d’IA générateur de langage appelé ChatGPT, proposé gratuitement, a pris d’assaut le Web. Alors que l’IA a le potentiel d’aider les groupes informatiques et de sécurité à devenir plus efficaces, elle permet également aux acteurs du risque de développer des logiciels malveillants.
Dans cette interview avec Help Net Security, Daniel Spicer, Chief Gatekeeper pour Ivanti, parle de ce que cette technologie signifie pour la cybersécurité.
Quels sont les facteurs de problème liés à l’application de l’IA à la cybersécurité ?
Le marché de la technologie s’est concentré sur le développement de l’IA générative qui répond à une commande ou à une question pour produire du texte, de la vidéo ou du matériel audio. Ce type d’IA ne peut pas examiner et contextualiser les informations et les informations pour fournir une compréhension.
Actuellement, la valeur de l’IA générative, comme ChatGPT et DALL-E, est inégale en faveur des étoiles de danger. L’IA générative vous offre exactement ce que vous avez demandé, ce qui est utile lors de la création d’e-mails de phishing. La sécurité des détails nécessite une IA qui peut prendre des détails, les améliorer avec un contexte supplémentaire et tirer une conclusion basée sur sa compréhension.
C’est pourquoi les cas d’utilisation que l’IA générative traite sont incroyablement attrayants pour les acteurs du danger. Une préoccupation apparente concernant l’application de l’IA par les stars du danger concerne l’ingénierie sociale. L’IA permet de produire un énorme volume d’e-mails de phishing avancés avec un minimum d’effort. Il peut également produire des profils factices étonnamment raisonnables. Même les endroits qui étaient auparavant considérés comme assez exempts de robots, comme LinkedIn, ont maintenant des profils convaincants qui consistent même en des photos de profil. Et nous commençons tout juste à en voir les effets.
Nous avons également constaté que des acteurs malveillants utilisent ChatGPT pour développer des logiciels malveillants. Bien que les résultats sur la qualité de la capacité d’écriture de code de ChatGPT soient mitigés, l’IA générative qui se concentre sur l’avancement du code peut accélérer le développement de logiciels malveillants. Finalement, nous le verrons aider à exploiter les vulnérabilités plus rapidement – quelques heures après la divulgation d’une vulnérabilité au lieu de quelques jours.
D’un autre côté, l’IA a le potentiel d’aider les groupes informatiques et de sécurité à devenir plus efficaces et efficace, permettant une détection et une correction automatisées et/ou semi-automatisées des vulnérabilités en plus de la hiérarchisation basée sur les risques. Cela rend l’IA capable d’analyser des données vraiment garantie pour les groupes informatiques et de sécurité confrontés à des contraintes de ressources, mais malheureusement, ce type d’outil n’existe pas encore et quand il le fera, il pourrait être rendu complexe à mettre en œuvre en raison de la formation nécessaire pour qu’il comprenne » normal » dans un environnement spécifique.
Le marché doit désormais porter son attention sur le développement de l’IA pour aider les protecteurs à évaluer et interpréter des quantités substantielles d’informations. Jusqu’à ce que nous voyions de grandes améliorations dans la capacité des outils d’IA à comprendre, les adversaires continueront d’avoir l’avantage car les outils d’aujourd’hui répondent à leurs exigences.
ChatGPT a mis en place des contrôles pour éviter une utilisation malveillante. Ces vérifications sont-elles suffisantes pour tenir les cybercriminels à distance ?
En un mot, non. Jusqu’à présent, les contrôles que ChatGPT a mis en place sont inefficaces. Les chercheurs ont en fait découvert que la façon dont vous posez une question à ChatGPT modifie considérablement sa réaction, y compris sa capacité à refuser les demandes nuisibles. Selon les commandes que vous fournissez à un outil d’IA générative, il est possible de regrouper toutes les étapes d’une attaque de malware. Un point positif avec ce scénario est que ChatGPT ne compose pas actuellement un excellent code, mais cela changera.
Le déploiement de ChatGPT doit être considéré comme une grande expérience de démonstration. Ceci est leur lancement bêta. L’IA générative va continuer à s’améliorer – elle a en fait actuellement abaissé la barre des attaques de phishing – et à l’avenir, nous aurons de meilleures variantes de la technologie qui seront capables de développer des logiciels malveillants.
Ceci changera la course aux armements entre les développeurs de logiciels malveillants et les fournisseurs d’AV/EDR, étant donné que l’IA axée sur le code peut manipuler le code pour modifier le style de manière plus significative que les services d’emballage standard.
Nous ne pouvons pas remettre le génie en place la bouteille. Les acteurs dangereux utilisant l’IA générative dans leur arsenal d’attaques sont un scénario, et maintenant nous devons nous concentrer sur la façon dont nous allons nous défendre contre ce nouveau danger.
ChatGPT peut-il être abusé par des assaillants sans aucune compréhension technique ?
Il est prudent d’affirmer que ChatGPT réduira considérablement les dépenses d’entrée basées sur les compétences pour les acteurs à risque. Actuellement, l’élégance d’un danger est plus ou moins liée à l’élégance de l’étoile du risque, mais ChatGPT a en fait ouvert l’espace des logiciels malveillants à un tout nouveau niveau d’acteurs de danger novices qui un jour pourront plus facilement frapper loin au-dessus de leur poids.
C’est inquiétant, car cela augmente non seulement le volume de risques potentiels et la variété d’étoiles menaçantes potentielles, mais rend également plus probable que les personnes qui n’ont que peu ou pas d’idée de ce qu’elles font sera là-bas pour s’inscrire avec la mêlée. Il y a un niveau d’imprudence fondamentale inclus qui est extraordinaire, même dans l’espace des logiciels malveillants.
Cependant, cela a encore ses obstacles. Étant donné que nous savons que l’innovation réussit, nous verrons des modèles et des améliorations.
Que se passera-t-il dans une future version de ChatGPT, une version que les utilisateurs pourront lier à des outils qui découvrent des vulnérabilités ?
Le monde de la cybersécurité rencontre déjà des obstacles pour garder le contrôle sur la grande variété de vulnérabilités du code. L’IA va pousser ces chiffres encore plus haut car elle est à la fois plus rapide et plus intelligente pour trouver des vulnérabilités. Intégrés aux codeurs d’IA, nous avons pu voir la militarisation des vulnérabilités fraîchement découvertes en quelques minutes, et non en quelques jours.
Pour être clair, l’IA n’est pas encore bien meilleure ni plus rapide, mais nous nous attendons à ce que cela se produise. Un jour, nous verrons la détection des vulnérabilités, la militarisation des vulnérabilités et la charge utile effectuées par l’IA et sans intervention humaine.
Les scientifiques d’Inspect Point ont montré comment ChatGPT pourrait développer un éventuel e-mail de phishing. Comment pensez-vous que les menaces évolueront une fois que les assaillants commenceront à utiliser l’IA ?
Encore une fois, l’IA a en fait rendu la tâche beaucoup plus rapide et plus accessible aux personnes ayant une compréhension limitée de la technologie pour produire de grandes quantités d’attaques de phishing pratiques et de faux profils. Étant donné que cette porte d’entrée est assez récente, c’est un peu un jeu d’enfant en ce moment parmi les acteurs débutants. Mais à mesure que les stars du risque deviennent plus à l’aise avec l’IA, nous verrons l’élégance grandir à mesure que les acteurs du risque se disputent l’accès et la notoriété.
À l’avenir, nous aurons une IA capable de mettre fin à toute une chaîne d’attaques, en commençant par rédiger un e-mail de phishing. Il n’est pas irréaliste que l’IA ait la capacité d’utiliser des outils facilement disponibles pour délimiter un environnement et déterminer rapidement la meilleure voie vers une entreprise pour les ransomwares. Il aura la capacité de comprendre le réseau, la disposition et l’architecture, puis de manipuler la chaîne d’outils pour obscurcir les charges utiles afin d’empêcher la détection par les défenseurs. Le tout sans que personne n’ait à appuyer sur un autre bouton.
C’est une mauvaise nouvelle pour ceux de l’autre côté.
Plus de matériel ChatGPT :
- Vidéo : Menaces possibles et ramifications sinistres de ChatGPT
- ChatGPT : L’assistant d’infosec touche à tout, maître de rien
.
Toute l’actualité en temps réel, est sur L’Entrepreneur
