chatgpt-en-meer-wat-ai-chatbots-betekenen-voor-de-toekomst-van-cybersecurity

Van relatief eenvoudige taken, zoals het opstellen van e-mails, tot meer complexe klussen, zoals het schrijven van essays of het compileren van code, heeft ChatGPT -- de op AI gebaseerde natuurlijke taalverwerkingstool van OpenAI -- sinds de lancering veel interesse gewekt.

Het is uiteraard verre van perfect - het staat bekend om het maken van fouten en vergissingen omdat het de informatie die het leert vaak verkeerd begrijpt, maar velen zien het, en andere AI-tools, als de toekomst van hoe we het internet zullen gebruiken.

De gebruiksvoorwaarden van OpenAI voor ChatGPT verbieden specifiek het genereren van malware, waaronder ransomware, keyloggers, virussen of "andere software bedoeld om schade aan te richten". Het verbiedt ook pogingen om spam te creëren, evenals gebruikstoepassingen gericht op cybercriminaliteit.

Maar net als bij elke innovatieve online technologie zijn er al mensen die experimenteren met hoe ze ChatGPT voor duisterdere doeleinden kunnen exploiteren.

Na de lancering duurde het niet lang voordat cybercriminelen berichten plaatsten op ondergrondse forums over hoe ChatGPT gebruikt kon worden om kwaadaardige cyberactiviteiten te vergemakkelijken, zoals het schrijven van phishing e-mails of het samenstellen van malware.

En er zijn zorgen dat boeven zullen proberen ChatGPT en andere AI-tools, zoals Google Bard, te gebruiken als onderdeel van hun inspanningen. Hoewel deze AI-tools geen revolutie teweeg zullen brengen in cyberaanvallen, kunnen ze cybercriminelen nog steeds helpen - zelfs onbedoeld - om kwaadaardige campagnes efficiënter uit te voeren.

"Ik denk niet dat ChatGPT op korte termijn volledig nieuwe soorten aanvallen zal creëren. De focus zal liggen op het efficiënter maken van hun dagelijkse werkzaamheden," zegt Sergey Shykevich, manager van de threat intelligence groep bij Check Point, een cybersecurity bedrijf.

En ook: Wat is ChatGPT en waarom is het belangrijk? Hier is alles wat je moet weten

Phishingaanvallen zijn het meest voorkomende onderdeel van kwaadaardige hacking- en fraudecampagnes. Of aanvallers nu e-mails sturen om malware te verspreiden, phishinglinks te verspreiden of worden gebruikt om een slachtoffer over te halen geld over te maken, e-mail is het belangrijkste instrument bij de initiële dwang.

Die afhankelijkheid van e-mail betekent dat bendes een constante stroom van duidelijke en bruikbare inhoud nodig hebben. In veel gevallen - vooral bij phishing - is het doel van de aanvaller om een mens ervan te overtuigen iets te doen, zoals geld overmaken. Gelukkig zijn veel van deze phishingpogingen op dit moment gemakkelijk te herkennen als spam. Maar een efficiënte geautomatiseerde tekstschrijver zou die e-mails overtuigender kunnen maken.

Cybercriminaliteit is een mondiale industrie, waarbij criminelen in allerlei landen phishing e-mails sturen naar potentiële doelwitten over de hele wereld. Dat betekent dat taal een obstakel kan vormen, vooral voor de meer geavanceerde spear-phishingcampagnes die ervan afhangen dat slachtoffers geloven dat ze met een vertrouwd contactpersoon spreken - en iemand zal niet snel geloven dat ze met een collega praten als de e-mails vol staan met ongebruikelijke spelfouten en grammaticale fouten of vreemde interpunctie.

Maar als AI op de juiste manier wordt misbruikt, kan een chatbot worden gebruikt om tekst te schrijven voor e-mails in welke taal de aanvaller maar wil.

"De grootste barrière voor Russische cybercriminelen is taal - Engels," zegt Shykevich. "Ze huren nu afgestudeerden van Engelse studies aan Russische hogescholen in om phishing e-mails te schrijven en in callcenters te werken - en hiervoor moeten ze geld betalen."

Hij vervolgt: "Iets als ChatGPT kan hen veel geld besparen bij het maken van verschillende soorten phishingberichten. Het kan hun leven gewoon verbeteren. Ik denk dat dat de weg is waar ze naar zullen zoeken."

In theorie zijn er beschermingsmaatregelen getroffen om misbruik te voorkomen. Zo vereist ChatGPT dat gebruikers zich registreren met een e-mailadres en ook een telefoonnummer voor verificatie.

En hoewel ChatGPT weigert om phishing-e-mails te schrijven, is het mogelijk om het te vragen sjablonen voor andere e-mails te maken, die vaak worden misbruikt door cyberaanvallers. Die inspanning kan berichten omvatten zoals beweren dat er een jaarlijkse bonus wordt aangeboden, dat er een belangrijke software-update moet worden gedownload en geïnstalleerd, of dat er met spoed naar een bijgevoegd document moet worden gekeken.

"Het schrijven van een e-mail om iemand ervan te overtuigen op een link te klikken om bijvoorbeeld een conferentie uitnodiging te verkrijgen - het is behoorlijk goed, en als je een niet-moedertaalspreker Engels bent, ziet dit er echt goed uit," zegt Adam Meyers, senior vice president of intelligence bij Crowdstrike, een cybersecurity- en bedreigingsinlichtingenprovider.

"Je kunt het laten maken van een mooi geformuleerde, grammaticaal correcte uitnodiging die je misschien niet zelf zou kunnen maken als je geen moedertaalspreker Engels bent."

Maar het misbruiken van deze tools beperkt zich niet alleen tot e-mail; criminelen kunnen het gebruiken om script te schrijven voor elk tekstgebaseerd online platform. Voor aanvallers die oplichting uitvoeren, of zelfs geavanceerde cyberdreigingsgroepen die spionagecampagnes proberen uit te voeren, kan dit een nuttige tool zijn - vooral voor het creëren van nep sociale profielen om mensen binnen te halen.

"Als je geloofwaardige zinloze bedrijfstaal wilt genereren voor LinkedIn, zodat het lijkt alsof je een echte zakenpersoon bent die connecties wil leggen, is ChatGPT daar geweldig voor," zegt Kelly Shortridge, een cybersecurity-expert en senior principal product technologist bij cloud computing-provider Fastly.

Verschillende hackergroepen proberen LinkedIn en andere socialemediaplatforms te misbruiken als hulpmiddelen voor het uitvoeren van cyber spionagecampagnes. Maar het creëren van valse maar legitiem ogende online profielen - en deze vullen met berichten en berichten - is een tijdrovend proces.

Shortridge denkt dat aanvallers AI-tools zoals ChatGPT zouden kunnen gebruiken om overtuigende inhoud te schrijven, terwijl ze ook profiteren van minder arbeidsintensief werk dan bij handmatig werk.

"Veel van dat soort sociale manipulatiecampagnes vereisen veel moeite omdat je die profielen moet opzetten," zegt ze, en stelt dat AI-hulpmiddelen de toegangsbarrière aanzienlijk kunnen verlagen.

"Ik weet zeker dat ChatGPT zeer overtuigende thought leadership-artikelen zou kunnen schrijven," zegt zij.

De aard van technologische innovatie betekent dat er altijd mensen zullen zijn die proberen er misbruik van te maken zodra er iets nieuws opkomt. En zelfs met de meest innovatieve manieren om misbruik te voorkomen, betekent de sluwe aard van cybercriminelen en oplichters dat ze waarschijnlijk manieren zullen vinden om beschermingsmaatregelen te omzeilen.

"Er is geen manier om misbruik volledig tot nul te reduceren. Het is nog nooit gebeurd bij welk systeem dan ook," zegt Shykevich, die hoopt dat het benadrukken van mogelijke cybersecurity kwesties zal leiden tot meer discussie over hoe te voorkomen dat AI-chatbots worden misbruikt voor verkeerde doeleinden.

"Het is een geweldige technologie - maar zoals altijd bij nieuwe technologieën, zijn er risico's en het is belangrijk om deze te bespreken om ervan op de hoogte te zijn. En ik denk dat hoe meer we bespreken, hoe waarschijnlijker het is dat OpenAI en vergelijkbare bedrijven meer zullen investeren in het verminderen van misbruik," suggereert hij.

Er is ook een voordeel voor cyberbeveiliging bij AI-chatbots, zoals ChatGPT. Ze zijn bijzonder goed in het omgaan met en begrijpen van code, dus er is potentieel om ze te gebruiken om verdedigers te helpen malware te begrijpen. Omdat ze ook code kunnen schrijven, is het mogelijk dat deze tools door ontwikkelaars te ondersteunen, kunnen helpen bij het creëren van betere en veiligere code, sneller, wat goed is voor iedereen.

Volgens Forrester-principal analist Jeff Pollard zou ChatGPT kunnen zorgen voor een enorme vermindering van de tijd die nodig is om beveiligingsincidentrapporten te produceren.

"Als we die sneller kunnen omdraaien, hebben we meer tijd om andere dingen te doen - zoals testen, evalueren, onderzoeken en reageren, wat allemaal helpt bij het opschalen van beveiligingsteams," merkt hij op, eraan toevoegend dat een bot suggesties kan doen voor volgende aanbevolen acties op basis van beschikbare gegevens.

"Als security-orchestratie, -automatisering en -reactie correct is ingesteld om het ophalen van artefacten te versnellen, kan dit de detectie en respons versnellen en [security operations center] analisten helpen betere beslissingen te nemen", zegt hij.

Dus, chatbots kunnen het leven moeilijker maken voor sommigen in cybersecurity, maar er kunnen ook lichtpuntjes zijn.

ZDNET heeft OpenAI om commentaar gevraagd, maar heeft geen reactie ontvangen. Niettemin vroeg ZDNET aan ChatGPT welke regels het heeft om misbruik voor phishing te voorkomen - en we kregen de volgende tekst.

"Het is belangrijk om op te merken dat hoewel AI-taalmodellen zoals ChatGPT tekst kunnen genereren die vergelijkbaar is met phishing-e-mails, ze op zichzelf geen kwaadwillige acties kunnen uitvoeren en de intentie en acties van een gebruiker nodig hebben om schade te veroorzaken. Het is daarom belangrijk dat gebruikers voorzichtigheid en goed oordeel betrachten bij het gebruik van AI-technologie en waakzaam zijn bij het beschermen tegen phishing en andere kwaadwillige activiteiten."