Il software ChatGPT di Open AI sta facendo scalpore. Con l'aiuto dell'intelligenza artificiale, il chatbot risponde in modo molto eloquente a un'ampia varietà di domande. Quindi non dovrebbe sorprendere che, come sempre accade con le nuove tecnologie, i criminali stiano già pensando a come utilizzare queste capacità per i propri scopi.
Lo ha indagato uno studio congiunto di Europol, Unicri e Trend Micro. In base a questi risultati, per il software Open AI potrebbero essere presi in considerazione strumenti di social engineering generati ancora meglio come il phishing o il BEC. Attualmente, anche altri ricercatori di sicurezza hanno esaminato e-mail fraudolente generate con l'IA attualmente pubblicizzata e hanno ricevuto risultati minacciosi. Inoltre, sembra che i criminali stiano già discutendo dei modi per portare ChatGPT nel dark web nei forum clandestini.
Il ruolo di ChatGPT
È chiaro che ChatGPT non ricopre il ruolo del mitico "vaso di Pandora" ormai aperto, ma si limita a rappresentare la prima tappa di un prevedibile sviluppo che porterà prima o poi all'utilizzo dell'IA nel cybercrime. Per i creatori di Open AI, il rilascio potrebbe essere il culmine preliminare di un lungo sviluppo, ma per l'IT il viaggio è solo all'inizio.ChatGPT mostra nuove possibilità e ispirerà molti altri a fare lo stesso. La tecnologia di base sarà disponibile al grande pubblico e utilizzata in modo economico e ragionevole come componente di soluzioni più ampie. Uno sviluppo comune e anche positivo per l'IT. Il rovescio della medaglia è che anche i criminali potranno accedervi e utilizzare la tecnologia in modo efficiente.
E-mail di phishing/attacco
Le e-mail di phishing fanno parte del programma standard per la maggior parte dei tipi di attacco, al fine di creare un primo punto di partenza per ulteriori attività criminali. E spesso non è così facile. Ecco perché esiste anche un settore dei servizi separato nel sottosuolo digitale, che offre il cosiddetto "Access-as-a-Service" di buona qualità: una questione di prezzo, niente di più. Il problema per i criminali è che sia la tecnologia che l'intuizione umana sono in grado di intercettare gli attacchi, motivo per cui vengono lanciati in massa (miliardi) o, a caro prezzo, con l'interazione umana.
L'intelligenza artificiale per aumentare l'efficacia sembra molto allettante per questo gruppo di autori. L'attuale stato dell'arte con ChatGPT può aiutare a formulare e-mail in modo più credibile. Gli errori di espressione e di ortografia che vengono spesso menzionati nei corsi di formazione sulla sicurezza vengono eliminati e nuovi contenuti possono essere generati più rapidamente in modo che le e-mail appaiano "più attraenti".
Le e-mail prive di errori ingannano gli utenti più facilmente
Ma le e-mail di phishing "migliori" non sono le preoccupazioni dei ricercatori di sicurezza quando considerano l'uso dell'intelligenza artificiale in Access-as-a-Service. Si teme piuttosto che sia possibile creare un'intelligenza artificiale in modo tale da poter condurre comunicazioni interessanti con una vittima e ridurre così l'enorme sforzo attualmente richiesto dagli attacchi mirati. In caso di successo, le future e-mail di phishing non potranno più essere distinte dalle vere comunicazioni aziendali.
Le vittime si confrontano quindi con attacchi personali, in cui è integrata la conoscenza disponibile tramite i social media, ad esempio. La variante di attacco Emotet ha già dimostrato gli effetti che questo può avere scrivendo la sua email di attacco come risposta a una mail precedentemente effettivamente inviata dalla vittima, fortunatamente senza il supporto dell'AI - con contenuto genericamente generato. Il phishing con dinamite, come è noto questo metodo, si è già dimostrato estremamente efficace.
Truffe – Business Email Compromise (BEC)
I progressi compiuti dall'AI negli ultimi anni si osservano soprattutto per quanto riguarda il linguaggio e la comunicazione interpersonale. La particolarità di ChatGPT è che il software non solo utilizza ciò che già esiste, ma genera anche nuovi contenuti interessanti per le persone. Ciò suggerisce che sia utilizzato dai criminali informatici in questo settore. C'è comunicazione interpersonale in tutte le varianti di truffa.
Nel settore aziendale, ad esempio, questo è il metodo Business E-Mail Compromise (BEC), in cui un dipendente viene ingannato facendogli credere di stare comunicando con il suo capo o un cliente importante. E ci sono anche un'ampia varietà di varianti nella sfera privata, come varie truffe romantiche o il famigerato "Principe della Nigeria". In breve, la vittima viene persuasa in comunicazioni dirette, spesso lunghe, a finire per trasferire sconsideratamente denaro all'autore del reato. Con le attuali possibilità di ChatGPT, le mail dovrebbero essere ottimizzate culturalmente, ad esempio con la poesia.
barriere linguistiche? Nessun problema per l'IA
Tuttavia, anche in questo caso è più l'ulteriore fase di espansione a destare preoccupazione. La prima cosa che rischia di cadere sono le barriere linguistiche. L'intelligenza artificiale è già disponibile in tedesco oggi. Le opzioni di traduzione precedenti possono germanizzare parole o frasi, ma solo mal imbiancare il background culturale di una persona. Un'intelligenza artificiale può farlo. Esistono già tecniche affini nel campo dei deep fake che consentono di scambiare i volti delle persone in tempo reale, rendendo più difficile l'identificazione tramite video.
Inoltre, ci sono molti schemi di truffa comprovati. Un'intelligenza artificiale può quindi essere facilmente addestrata con casi di successo e apprendere il modo migliore per convincere le persone. Gli autori non solo possono aumentare la loro efficienza, ma anche il numero di vittime che attaccano in parallelo. Ma un'intelligenza artificiale specializzata in frodi può portare a scenari applicativi completamente diversi che non possiamo ancora valutare affatto.
Creazione di malware da parte dell'intelligenza artificiale
Richard Werner, consulente aziendale presso Trend Micro (Immagine: Trend Micro)
ChatGPT può anche sviluppare ed eseguire il debug di software/codice. Pertanto, esiste la possibilità teorica di generare anche malware. Ciò è già stato dimostrato nei test proof-of-concept. Sebbene gli sviluppatori di Open AI adeguino regolarmente le loro politiche per impedirlo, ci sono sempre esempi di come funziona.
Ci sono ancora ostacoli: il codice creato funziona, ma richiede una descrizione precisa da parte del richiedente. Si sta discutendo anche sul fatto che il codice generato dall'IA non sia ancora convincente, soprattutto nello sviluppo software. È quindi probabile che ChatGPT sia di scarsa utilità per determinati criminali informatici oggi. Tuttavia, anche qui è prevedibile la fase di espansione.
È chiaro che prima o poi il software di attacco sarà scritto dall'IA. Ad esempio, questo riduce a pochi minuti il tempo che intercorre tra la scoperta di una vulnerabilità, l'applicazione di una patch e un attacco informatico, anche per i criminali che non hanno talento tecnico. Ma tutte queste sono sfide ben note per le quali esistono soluzioni nel campo della sicurezza. Il settore deve già affrontare oltre 300.000 nuovi file dannosi al giorno. Stiamo parlando di zero giorni e poche ore, e l'intelligenza artificiale ha assunto da tempo anche per noi il lavoro, principalmente per identificare le incognite nel tipo di procedura.
Conclusione: ChatGPT sta cambiando il futuro della sicurezza IT?
ChatGPT non ha avviato questo sviluppo, ma ha solo dimostrato al pubblico ciò che è stato a lungo discusso negli ambienti scientifici. Si può presumere che l'uso dell'IA giocherà un ruolo, soprattutto nell'infezione iniziale. Qui Access-as-a-Service compete per i clienti e l'intelligenza artificiale può ridurre al minimo gli enormi sforzi o migliorare il successo degli attacchi di massa. Di conseguenza, le aziende devono presumere che gli aggressori saranno in grado di aggirare i loro meccanismi di difesa primari ancora più di prima.
Altro su TrendMicro.com
Informazioni su TrendMicro In qualità di uno dei principali fornitori mondiali di sicurezza IT, Trend Micro contribuisce a creare un mondo sicuro per lo scambio di dati digitali. Con oltre 30 anni di esperienza nella sicurezza, ricerca sulle minacce globali e costante innovazione, Trend Micro offre protezione per aziende, agenzie governative e consumatori. Grazie alla nostra strategia di sicurezza XGen™, le nostre soluzioni beneficiano di una combinazione intergenerazionale di tecniche di difesa ottimizzate per ambienti all'avanguardia. Le informazioni sulle minacce in rete consentono una protezione migliore e più rapida. Ottimizzate per carichi di lavoro cloud, endpoint, e-mail, IIoT e reti, le nostre soluzioni connesse forniscono visibilità centralizzata in tutta l'azienda per un rilevamento e una risposta più rapidi alle minacce.