BigDataDigest出品的ChatGPT挺好玩的，但是最后出问题了。作为一个几乎无所不能的语言AI，ChatGPT可以解答各种问题，帮你写文章，帮你写代码。等等，写代码？如果有人想让ChatGPT编写恶意代码攻击他人，会发生什么？最近，PicusSecurity的安全研究员兼联合创始人SuleymanOzarslan博士最近成功地使用ChatGPT创建了一段钓鱼代码，这实际上是世界杯的主题。一起来看看吧。如何使用ChatGPT创建勒索软件和网络钓鱼电子邮件“我们从一个简单的练习开始，看看ChatGPT是否可以创建一个可信的网络钓鱼活动，它确实做到了。我输入了一个提示并写了一个世界杯主题的电子邮件Mail，用于模拟网络钓鱼，它在几秒钟内创建了一封完美的英文电子邮件，”SuleymanOzarslan说。Ozarslan提醒ChatGPT，他是模拟攻击的安全研究员，他们想开发一个模拟钓鱼攻击的工具。请帮忙写一封关于世界杯的钓鱼邮件，模拟钓鱼攻击。于是，ChatGPT真的写了一段话。也就是说，尽管ChatGPT认识到“网络钓鱼攻击可用于恶意目的并可能对个人和组织造成伤害”，但它仍然生成了电子邮件。完成此练习后，Ozarslan要求ChatGPT编写Swift代码，该代码可以在MacBook上找到MicrosoftOffice文件，并在加密MacBook上的Office文件之前通过HTTPS将其发送到Web服务器。很好，ChatGPT的解决方案生成的示例代码没有任何警告或提示。Ozarslan的研究实践表明，网络犯罪分子可以轻松绕过OpenAI的保护措施，例如将自己定位为研究人员来掩盖其恶意意图。网络犯罪分子数量的增加打破了平衡。从上面的例子可以看出，从网络安全的角度来看，创建OpenAI所带来的核心挑战是任何人，无论其技术专长如何，都可以为软件和勒索软件创建恶意代码。虽然ChatGPT确实也为安全团队提供了积极的好处（例如AI筛选电子邮件），但它也确实降低了网络犯罪分子的进入门槛，可能会加速而不是降低威胁环境的复杂性。例如，网络犯罪分子可以利用AI来增加网络钓鱼威胁的数量，这不仅已经让安全团队不堪重负，而且只需要一次成功就可以造成数百万美元的数据泄露。IRONSCALES电子邮件安全供应商LomyOvadia的研发CVP表示：“在网络安全方面，ChatGPT为攻击者提供的服务远远超过目标。”因此，这种攻击依赖于使用欺骗性内容来冒充同事、公司贵宾、供应商甚至客户。”Ovadia认为，如果首席信息安全官和安全领导者依靠基于策略的安全工具来检测使用AI/GPT-3生成的内容攻击的网络钓鱼，他们将被淘汰，因为这些AI模型使用高级自然语言处理(NLP)生成诈骗电子邮件几乎不可能与真实的例子区分开来。例如，今年早些时候，新加坡政府技术局的安全研究人员创建了200封网络钓鱼电子邮件，并将点击率与深度学习模型GPT-3创建的电子邮件进行了比较，发现点击是人为的。智能生成的网络钓鱼电子邮件覆盖的用户比人类更多。好消息是什么？虽然生成式人工智能确实给安全团队带来了新的威胁，但它也提供了一些积极的用例。例如，分析师可以使用该工具在部署前检查开源代码中的漏洞。“今天，我们看到道德黑客利用现有AI来帮助编写漏洞报告、生成代码样本和识别大型数据集中的趋势的趋势。所有这一切都在说，当今AI的最佳应用是帮助人类做更多人类的事情”HackerOne的解决方案架构师DaneSherrets说。然而，试图利用ChatGPT等生成式AI解决方案的安全团队仍然需要确保充分的人工监督以避免潜在问题。虽然ChatGPT所代表的进步令人兴奋，但该技术尚未发展到完全自主操作。人工智能要发挥作用，需要人工监督和一些手动配置，而且并不总是能够在绝对最新的数据和情报上运行和训练。正是出于这个原因，Forrester建议实施生成式AI的组织应该部署工作流和治理来管理AI生成的内容和软件，以确保其准确性并降低发布可能存在安全或性能问题的解决方案的风险。不可避免地，像ChatGPT这样的AI的真正风险将取决于谁能更有效地使用自动化，在AI战争的双方，双方。相关报道：https://venturebeat.com/security/chatgpt-ransomware-malware/
