לקראת סייברטק 2023: כלים כמו ChatGPT מפחיתים את סף הכניסה הטכני לעולם פשעי הסייבר
צוות Netskope Threat Labs שהעריך את הסיכונים הטמונים ב-ChatGPT, הדגיש את הפוטנציאל שלו לשימוש זדוני
עידן בן נאים
| 26/01/2023
תמונה: סייברטק
יזמים טכנולוגים מחפשים תמיד את הפתרונות החדשים שישפרו את חיינו ויהפכו אותם למהנים יותר. בתחום העסקי הטכנולוגיות החדשות נותנות מענה לאתגרים עסקיים, מקצרים תהליכים, מייעלים אותם ומספקים יתרונות יחסיים לארגונים.
אין ספק שהעולם מתקדם ככל שהטמעת הטכנולוגיות החדשות מתקדמת. אך חשוב להזכיר כי כל טכנולוגיה חדשה שעליה מבוסס הפתרון העסקי הבא מהווה גם משטח תקיפה פוטנציאלי לפושעי סייבר והאקרים.
רבות דובר על כך שכלי הפריצה מבוססים גם הם על בסיס הטכנולוגיות החדשות ובהתאם לכך כלי ההגנה צריכים להיות מבוססים על הטכנולוגיות החדשות והמתקדמות ביותר על מנת להתמודד איתם.
צוות Netskope Threat Labs שהעריך את הסיכונים הטמונים ב-ChatGPT, הדגיש את הפוטנציאל שלו לשימוש זדוני. באמצעות בדיקות בעולם האמיתי, מצא הצוות שלכלים כגון ChatGPT יש פוטנציאל לסייע בפיתוח תוכנות זדוניות ולשפר התקפות מבוססות הנדסה חברתית, למרות אזהרות ואמצעי הרתעה אתיים המובנים בפלטפורמה.
[עידן בן נאים, צילום: גבריאל בהרליה]
החוקרים מציינים של-ChatGPT יש פוטנציאל להקטין משמעותית את מחסום הכניסה של פושעי סייבר בבניית התקפותיהם, על ידי אספקה דינמית של משאבים שניתן להשתמש בהם למטרות זדוניות, כגון טקסטים של פישינג או פיסות קוד זדוני.
ChatGPT הוא כלי המבוסס על בינה מלאכותית, אחד האיומים שמציב כלי הבינה המלאכותית הוא הפוטנציאל שלו ללמד מתכנתים מתחילים כיצד לקודד ולפתח תוכנות זדוניות, בתנאי שלשואל יש גישה לשאלות הנכונות, והוא מסוגל ליישם את הידע לאחר מכן.
בבדיקת האיום הזה, Netskope Threat Labs ביקשה מ-ChatGPT להדגים כמה טכניקות הנפוצות בשימוש בתוכנות זדוניות, כגוןProcess injection ,virtual machine detection, הורדת קבצים חיצוניים, גישה מרחוק ואפילו הצפנת קבצים, שיכולים לסייע ביצירת תוכנות כופר.
ChatGPT הצליח לכתוב קוד לשם כך בשפות שונות, כגון C++, Python ו-ASM, וכן להסביר כיצד הוא עובד. ChatGPT הצליח גם לענות על שאלות פשוטות על קידוד, ואפילו ליצור תרגילים לבדיקת הידע של המשתמש.
הורדת רף הכניסה לעולמות פשעי הסייבר
למרות ההדגמות, חוקרי Netskope מסבירים ש-ChatGPT היא עדיין לא הדרך הקלה - או המהירה ביותר - ללמוד ולכתוב קוד זדוני. לדבריהם ChatGPT לא יכתוב תוכנות זדוניות חדשות או פונקציונליות מאפס. בשלב זה, הכלי יכול לשמש כמשאב ללימוד ויצירת קטעי קוד שבשילובם יכולים לשמש ליצירת תוכנות זדוניות.
עם זאת, נדרשת רמה מסוימת של ידע של המשתמש כדי לבנות עליו. ידוע כי טירונים בעולמות הפשע בונים תוכנות זדוניות חדשות על ידי העתקה והתאמת קוד קיים במקום לכתוב אותו מאפס, מה שכנראה גוזל פחות זמן מאשר עקיפת אמצעי האבטחה של ChatGPT והצורך לשלב פיסות קוד.
איום גדול יותר הקשור ל-ChatGPT הוא הפוטנציאל שלו להוריד את מחסום הכניסה של פושעי סייבר הבונים התקפות הנדסה חברתית. לדוגמה, למרות האזהרות של האתר מפני מקרי שימוש כאלה, ניתן להשתמש בו כדי לכתוב מיילים דיוגים משכנעים המנסים לגנוב מידע רגיש או לפתות קורבנות לפתוח קבצים מצורפים.
תוקפים יכולים גם להשתמש לרעה ב-ChatGPT כדי ליצור Fake news, להפנות קורבנות לאתרים המנסים לגנוב נתונים רגישים, כגון דואר אלקטרוני או חשבונות בנק. לכל היכולות הללו יש פוטנציאל לשנות משמעותית את תעשיית אבטחת הסייבר, ולשנות לרעה את היקף התקפות של גורמים זדוניים.
שינוי פרדיגמה
חשוב לציין כי התקפות הנדסה חברתית מהוות סיכון גבוה מתמשך עבור ארגונים גם ללא AI בתמהיל, והן גדלו משמעותית מאז תחילת מגיפת הקורונה. רוב כוח העבודה עדיין עובד חלקית מרחוק. אנשים שינו את תפיסת האמון הדיגיטלי שלהם.
הם הורידו את חוסר האמון ההיסטורי שלהם בפתרונות דיגיטליים, ואימצו כלי שיתוף מקוונים. הזמינות של כלי בינה מלאכותית המסוגל לחקות התנהגות אנושית הופכת את הסיכון הזה לגדול עוד יותר, ולכן חשוב לארגונים לבנות מחדש את 'חומת האש האנושית', להכשיר עובדים ולקוחות לזהות את הרמזים הקטנים, כגון פרטים שגויים בדוא"ל דיוג, וכן לאמת תמיד את זהות האדם אתו הם מדברים.
וקטורי תקיפה חדשים שאנו עשויים לראות, ופותחו על ידי AI , יכולים להיות מטופלים, במידה רבה, על ידי שמירה על נהלי אבטחה יעילה, הכוללת שמירה על תוכנה תקינה ועדכנית, שמירה על מדיניות וטכנולוגיות אפקטיביות להגנה על נתונים, והצטיידות בשכבות הגנה נוספות עבור הנכסים היקרים ביותר של הארגון, כגון הגנת Zero Trust .
לסיכום: בעוד ש-ChatGPT יכולה להיות מנוצלת לרעה על ידי תוקפים במספר דרכים, חשוב לזכור ש-AI הוא לא רק נשק לתוקפים, אלא כלי רב ערך למגנים, בין אם משתמשים בו להערכת אמצעי האבטחה או כדי לזהות פגיעויות בקוד."
Netskope ממליצה לעסקים ולאנשים פרטיים להישאר ערניים לאיומים בעת השימוש ב- ChatGPT.
צוות Netskope Threat Labs שהעריך את הסיכונים הטמונים ב-ChatGPT, הדגיש את הפוטנציאל שלו לשימוש זדוני
תמונה: סייברטק
יזמים טכנולוגים מחפשים תמיד את הפתרונות החדשים שישפרו את חיינו ויהפכו אותם למהנים יותר. בתחום העסקי הטכנולוגיות החדשות נותנות מענה לאתגרים עסקיים, מקצרים תהליכים, מייעלים אותם ומספקים יתרונות יחסיים לארגונים.
אין ספק שהעולם מתקדם ככל שהטמעת הטכנולוגיות החדשות מתקדמת. אך חשוב להזכיר כי כל טכנולוגיה חדשה שעליה מבוסס הפתרון העסקי הבא מהווה גם משטח תקיפה פוטנציאלי לפושעי סייבר והאקרים.
רבות דובר על כך שכלי הפריצה מבוססים גם הם על בסיס הטכנולוגיות החדשות ובהתאם לכך כלי ההגנה צריכים להיות מבוססים על הטכנולוגיות החדשות והמתקדמות ביותר על מנת להתמודד איתם.
צוות Netskope Threat Labs שהעריך את הסיכונים הטמונים ב-ChatGPT, הדגיש את הפוטנציאל שלו לשימוש זדוני. באמצעות בדיקות בעולם האמיתי, מצא הצוות שלכלים כגון ChatGPT יש פוטנציאל לסייע בפיתוח תוכנות זדוניות ולשפר התקפות מבוססות הנדסה חברתית, למרות אזהרות ואמצעי הרתעה אתיים המובנים בפלטפורמה.
[עידן בן נאים, צילום: גבריאל בהרליה]
החוקרים מציינים של-ChatGPT יש פוטנציאל להקטין משמעותית את מחסום הכניסה של פושעי סייבר בבניית התקפותיהם, על ידי אספקה דינמית של משאבים שניתן להשתמש בהם למטרות זדוניות, כגון טקסטים של פישינג או פיסות קוד זדוני.
ChatGPT הוא כלי המבוסס על בינה מלאכותית, אחד האיומים שמציב כלי הבינה המלאכותית הוא הפוטנציאל שלו ללמד מתכנתים מתחילים כיצד לקודד ולפתח תוכנות זדוניות, בתנאי שלשואל יש גישה לשאלות הנכונות, והוא מסוגל ליישם את הידע לאחר מכן.
בבדיקת האיום הזה, Netskope Threat Labs ביקשה מ-ChatGPT להדגים כמה טכניקות הנפוצות בשימוש בתוכנות זדוניות, כגוןProcess injection ,virtual machine detection, הורדת קבצים חיצוניים, גישה מרחוק ואפילו הצפנת קבצים, שיכולים לסייע ביצירת תוכנות כופר.
ChatGPT הצליח לכתוב קוד לשם כך בשפות שונות, כגון C++, Python ו-ASM, וכן להסביר כיצד הוא עובד. ChatGPT הצליח גם לענות על שאלות פשוטות על קידוד, ואפילו ליצור תרגילים לבדיקת הידע של המשתמש.
הורדת רף הכניסה לעולמות פשעי הסייבר
למרות ההדגמות, חוקרי Netskope מסבירים ש-ChatGPT היא עדיין לא הדרך הקלה - או המהירה ביותר - ללמוד ולכתוב קוד זדוני. לדבריהם ChatGPT לא יכתוב תוכנות זדוניות חדשות או פונקציונליות מאפס. בשלב זה, הכלי יכול לשמש כמשאב ללימוד ויצירת קטעי קוד שבשילובם יכולים לשמש ליצירת תוכנות זדוניות.
עם זאת, נדרשת רמה מסוימת של ידע של המשתמש כדי לבנות עליו. ידוע כי טירונים בעולמות הפשע בונים תוכנות זדוניות חדשות על ידי העתקה והתאמת קוד קיים במקום לכתוב אותו מאפס, מה שכנראה גוזל פחות זמן מאשר עקיפת אמצעי האבטחה של ChatGPT והצורך לשלב פיסות קוד.
איום גדול יותר הקשור ל-ChatGPT הוא הפוטנציאל שלו להוריד את מחסום הכניסה של פושעי סייבר הבונים התקפות הנדסה חברתית. לדוגמה, למרות האזהרות של האתר מפני מקרי שימוש כאלה, ניתן להשתמש בו כדי לכתוב מיילים דיוגים משכנעים המנסים לגנוב מידע רגיש או לפתות קורבנות לפתוח קבצים מצורפים.
תוקפים יכולים גם להשתמש לרעה ב-ChatGPT כדי ליצור Fake news, להפנות קורבנות לאתרים המנסים לגנוב נתונים רגישים, כגון דואר אלקטרוני או חשבונות בנק. לכל היכולות הללו יש פוטנציאל לשנות משמעותית את תעשיית אבטחת הסייבר, ולשנות לרעה את היקף התקפות של גורמים זדוניים.
שינוי פרדיגמה
חשוב לציין כי התקפות הנדסה חברתית מהוות סיכון גבוה מתמשך עבור ארגונים גם ללא AI בתמהיל, והן גדלו משמעותית מאז תחילת מגיפת הקורונה. רוב כוח העבודה עדיין עובד חלקית מרחוק. אנשים שינו את תפיסת האמון הדיגיטלי שלהם.
הם הורידו את חוסר האמון ההיסטורי שלהם בפתרונות דיגיטליים, ואימצו כלי שיתוף מקוונים. הזמינות של כלי בינה מלאכותית המסוגל לחקות התנהגות אנושית הופכת את הסיכון הזה לגדול עוד יותר, ולכן חשוב לארגונים לבנות מחדש את 'חומת האש האנושית', להכשיר עובדים ולקוחות לזהות את הרמזים הקטנים, כגון פרטים שגויים בדוא"ל דיוג, וכן לאמת תמיד את זהות האדם אתו הם מדברים.
וקטורי תקיפה חדשים שאנו עשויים לראות, ופותחו על ידי AI , יכולים להיות מטופלים, במידה רבה, על ידי שמירה על נהלי אבטחה יעילה, הכוללת שמירה על תוכנה תקינה ועדכנית, שמירה על מדיניות וטכנולוגיות אפקטיביות להגנה על נתונים, והצטיידות בשכבות הגנה נוספות עבור הנכסים היקרים ביותר של הארגון, כגון הגנת Zero Trust .
לסיכום: בעוד ש-ChatGPT יכולה להיות מנוצלת לרעה על ידי תוקפים במספר דרכים, חשוב לזכור ש-AI הוא לא רק נשק לתוקפים, אלא כלי רב ערך למגנים, בין אם משתמשים בו להערכת אמצעי האבטחה או כדי לזהות פגיעויות בקוד."
Netskope ממליצה לעסקים ולאנשים פרטיים להישאר ערניים לאיומים בעת השימוש ב- ChatGPT.
