ג'ט ועוד: מה אלגוריתמי למידת מכונה אומרים על עתיד הסייברביטחון

ממשימות יחסית פשוטות, כמו כתיבת מיילים, עד משימות מורכבות יותר, כולל כתיבת מאמרים או קידוד קוד, ChatGPT - הכלי לעיבוד שפה טבעית מונע על ידי AI של OpenAI - גרם לתמונה גדולה מאוד מאז שנוצר.

זהו בהחלט לא מושלם, כמובן - ידוע שהוא עשוי לעשות טעויות ושגיאות כשהוא מבין את המידע שהוא לומד ממנו, אבל רבים רואים בו, ובכלים נוספים של AI, את העתיד של דרך שבה נשתמש באינטרנט.

תנאי השירות של OpenAI עבור ChatGPT מורידים איסור על יצירת תוכנות זדוניות, כולל מסילות כפתורים, גורמי מחשבות, וירוסים, או "תוכנה אחרת שמוכוונת לגרום נזק ברמה מסוימת". הם גם מורידים איסור על ניסיונות ליצור תכני דואר זבל, וגם על מקרים שמשמשים זיוף סייבר.

אבל כמו כל טכנולוגיה מקוונת חדשנית, כבר יש אנשים שמתנסים עם איך שהם יכולים לנצל את ChatGPT לסופים יותר אפלים.

לא במשך זמן ארוך לאחר השקתו, החוקרים הגורמים נזק באינטרנט החלו לפרסם מידע בפורומים תת-קרקעיים על כיצד ניתן להשתמש ב־ChatGPT לסיוע בפעילות סייבר זדונית, כגון כתיבת מיילים למדיח או עזרה בהרכבת תוכנות זיהום.

ושיש לנו דאגות שפושעים ינסו להשתמש ב-ChatGPT ובכלים אחרים מבית היקום המלא באומנות של ההבל המדעי, כמו Bard של גוגל, כחלק ממאמציהם. על אף שכלים אלו לא ישנו את עולם התקיפה הסייברית, הם עדיין עשויים לעזור לפושעים הסייבריים - גם באופן בלתי רצון - לבצע מבצעים זדוניים ביעילות גבוהה יותר.

אני לא חושב, לפחות בטווח הקצר, ש-ChatGPT ייצור סוגים חדשים לגמרי של התקפות. המוקד יהיה להפוך את פעולות יומם שלהם ליעילות יותר מבחינת עלויות", אומר סרגיי שיקביץ', מנהל קבוצת אינטיליגנציה על איומים בחברת Check Point, חברה לאבטחת מידע.

גם: מה זה ChatGPT ולמה זה חשוב? הנה כל מה שאתה צריך לדעת

תקיפות פישינג הן הרכיב הכי נפוץ בקמפיינים רעועים של האקרים והונאות. בהחלטה המתחילה, שולחי התקף שולחים אימיילים כדי להפיץ תוכנות זדוניות, קישורי פישינג או מנסים לשכנע קורבן להעביר כסף, וכלי המפתח בתהליך הוא האימייל.

ההתמסרות על האימייל מביאה למתקפות ג'נג צורך בזרמים קבועים של תוכן ברור ושימושי. ברבים מהמקרים - במיוחד עם התחברות - המטרה של התוקף היא לשכנע אדם לבצע פעולה מסוימת, כמו העברת כסף. למרות זאת, רבים מתוך ניסיונות הפישינג האלה קלים לזיהות כדואר זבל כרגע. אבל מכתבנים אוטומטיים יעילים יותר יכולים להפוך את האימיילים הללו למפתים יותר.

Cybercrime היא תעשייה גלובלית, עם פושעים בכל מיני מדינות ששולחים מיילים פישינג ליעדים אפשריים ברחבי העולם. זה אומר שהשפה יכולה להיות סכנה, במיוחד לקמפיינים מתוחכמים יותר של פיישינג מקולקל בהם סומכים על הקורבן באמינות שהוא מדבר עם אנשים אמינים -- ומישהו בטח לא יאמין שהוא מדבר עם עמית אם הופיעו טעויות אי תואמות להם בניסוח ובדקדוק או ריסוסים מוזרים.

אך אם יעשה שימוש תקין בביצועי המוח המלאכותי, תוכל להשתמש בצ'אטבוט כדי לכתוב טקסט לדואר אלקטרוני בכל שפה שתהיה רצונו לתוקפן.

"הפאתי של פושעי הסייבר הרוסים הוא השפה - האנגלית", אומר שיקביץ'. "הם כיום מנהיגים סטודנטים מתוך מכללות רוסיות שסטודיה האנגלית שם כדי לכתוב אימיילים מדליפה ולעבוד במרכזי שיחות - והם צריכים לשלם על זה כסף."

הוא ממשיך: "משהו כמו ChatGPT יכול לחסוך להם המון כסף ביצירת מגוון של הודעות פישינג שונות. זה פשוט יכול לשפר את חייהם. אני חושב שזה הדרך שהם יחפשו."

בתאוריה, ישיות יישומות שהתוכנן להגן ולמנוע שימוש לרעה. לדוגמה, ב-ChatGPT נדרשים משתמשים להרשם עם כתובת דוא"ל וכן נדרש מספר טלפון לאימות הרשמה.

ובעוד ש-ChatGPT יסרב לכתוב דואר פישינג, ניתן לבקש ממנו ליצור תבניות דוא"ל להודעות אחרות, שנמצאות בדרך כלל בסיכון מפני התוקפים הסייבריים. מאמץ כזה כולל יכול לכלול הודעות כגון הטענה כי מגיעה דרך דמי שנתיים, הורדה והתקנה של עדכון חשוב לתוכנה או תיקון דחוף למסמך שמצורף.

"לחיתוך דוא"ל על מנת לשכנע מישהו ללחוץ על קישור כדי לקבל משהו כמו הזמנת כנס - זה נראה טוב מאוד, ואם אתה דובר אנגלית שאינה שפת אם, זה נראה מאוד טוב," אומר אדם מאיירס, סגן נשיא לבינה מורכבת ב- Crowdstrike, ספק חוקר ביטחון אינטיליגנציה.

"אתה יכול לשפרם כך שיצורו הזמנה מפורמטת יפה, נכונה מבחינה תחבירית, שלא בהכרח תוכל לעשות אם אינך דובר אנגלית כשפת אם."

אך לשנות את בני הכלים האלה אינו מוגבל רק לדואר אלקטרוני; פושעים יכולים להשתמש בכך כדי לכתוב תסריטים לכל פלטפורמה מקוונת בהידור טקסט. למתקפים שמבצעים הונאות ואפילו קבוצות תקפים סייבר מתקדמות המנסות לבצע מבצעי ריגול, זה עשוי להיות כלי שימושי - במיוחד ליצירת פרופילים חברתיים מזויפים כדי למשוך אנשים הכנה לתחושת רשתות.

"אם אתה רוצה ליצור טומן עסקי מדמים עבור LinkedIn כדי להראות כאילו אתה אדם עסקי אמיתי שמנסה להקשות קשרים, ChatGPT היא מעולה לכך", אומרת קליי שורטרידג', מומחית בסייבר וטכנולוגית בכירה בספק שירותי עיבוד בענן Fastly.

קבוצות נוספות של הוקרים מנסות לנצל את LinkedIn ופלטפורמות חברתיות אחרות ככליים לביצוע קמפיינים של סייבר-ריגול. אך ליצור פרופילים מזויפים אך מרגישים רשמיים - ולמלא אותם בפוסטים והודעות - עניין שמקבל המון זמן.

שורטרידג' מסביר כי התוקפים יכולים להשתמש בכלים של AI כמו ChatGPT כדי לכתוב תוכן משכנע עם היתרון של יותר אמינות ומעט עבודה ידנית.

"רוב הקמפיינים להנדסה חברתית שכאלה מחייבים המון מאמץ מאחר וצריך להקים את מקרן פרופילים," היא אומרת, ומטענת שכליים של AI יכולים להוריד בערך את המחסום הנכנס.

"אני בטוח ש-ChatGPT יכול לכתוב פוסטים בניהול מחשבת מובילים שמשכילים מאוד," היא אומרת.

אופי החדשנות הטכנולוגית הוא שכל פעם שמשהו חדש עולה לפניו, תמיד יהיו אנשים שינסו לנצל אותו למטרות זדוניות. וגם עם שיטות המותאמות ביותר לניסיונות למנוע התעללות, האופי המסתורי של פושעי הסייבר והמתחרטים אומר שימצאו דרכים לעקוף את ההגנות.

"אין דרך להשלים באופן מוחלט את התופעה של התעללות לאפס. זה לא קרה מעולם עם כל מערכת", אומר שיקביץ' ומקווה שבהדגמת הבעיות הפוטנציאליות בתחום הסייברביטי ייהיה יותר דיון בנושא כיצד למנוע מכשלונות בשימוש מניפולצי לבוטים בתחום המקור.

"זו טכנולוגיה נהדרת - אך כמו תמיד עם טכנולוגיה חדשה, יש סיכונים וחשוב לדבר עליהם כדי להיות מודעים להם. ואני חושב שככל שנדבר יותר, כך יותר קורה ש-OpenAI וחברות דומות ישקיעו יותר בהפחתת השימוש המזיק"

יש גם יתרון לסבירטיות המחשב האוטומטית בצ'אטבוטים, כמו ChatGPT. הם מיוחדים ביכולתם לטפל ולהבין קוד, ולכן יש פוטנציאל להשתמש בהם לסיוע לבקרים בהבנת מדוזות זיהוי דביקות. בהתאם שיכולים גם לכתוב קוד, אפשרי לעזור למפתחים בפרויקטיהם וכך ליצור קוד טוב יותר ויותר מאובטח במהירות, דבר המועיל לכולם.

כמו שכתב ניתוח מרכזי במחקרים של פורסטר, ג'ף פולרד לאחרונה, ChatGPT יכול לספק הפחתה עצומה בזמן הדרך שנדרש ליצור דוחות אירוע אבטחה.

"להפך מהם במהירות יותר מספר יותר זמן לביצוע הדברים האחרים - בדיקה, הערכה, חקירה ותגובה, על כל אלה יתרון בהתמקדות של צוותי אבטחה", הוא מציין, ומוסיף שרובוט יכול להציע פעולות אשר מומלצות לביצוע הבא, בהתבסס על המידע הקיים.

אם האגודל של אורכסטרציה, אוטומציה ותגובה מאובטחת מוגדר כראוי כדי להאיץ את קבלת המונחים, זה יכול להאיץ את תהליך הגילוי והתגובה ולעזור למנהלי מרכז הפעולות האבטחה לקבל החלטות מועילות", כך אומר.

לכן, צ'אטבוטים עשויים להקשות על חיי היומיום של חלק ממי שעוסקים בסייברבזית, אך ייתכן ויהיו גם נקודות חיוביות

ZDNET פנתה ל-OpenAI להערות, אך לא קיבלה תגובה. עם זאת, ZDNET שאלו את ChatGPT אילו כללים יש לו במקום כדי למנוע מימוש יכולות הונאה באמצעות דיגיטל. וקיבלו את הטקסט הבא:

"חשוב לציין שגרסאות של דגמי למידת מכונה מבית גפט, כמו ChatGPT, יכולות ליצור טקסט שדומה להודעות פישינג, אך אין להם את היכולת לבצע פעולות זדוניות באופן עצמאי ומחייבות את כוונתו והפעולות של המשתמש על מנת לגרום נזק. לכן, חשוב למשתמשים לתרגל זהירות ושיקול דעת טוב בשימוש בטכנולוגיית המודלים הלומדים, ולהיות יְזֵר וזהירים בהגנה מפישינג ופעילויות אחרות המזיקות."