La fonctionnalité la plus appréciée de ChatGPT comporte également de gros risques pour les entreprises
Sa capacité à imiter les humains avec ses réponses a déclenché une grande partie du battage médiatique qui tourne actuellement autour de l’outil basé sur l’IA et constitue également ce qui représente la plus grande menace.
Bien que la capacité de ChatGPT à générer des réponses de type humain ait été largement saluée, elle présente également le plus grand risque pour les entreprises.
L'outil d'intelligence artificielle (IA) est déjà utilisé pour renforcer les attaques de phishing, a déclaré Jonathan Jackson, directeur de l'ingénierie pour la région Asie-Pacifique de BlackBerry.
Soulignant les activités repérées dans les forums clandestins, il a déclaré que certains indices laissaient penser que les pirates informatiques utilisaient ChatGPT d'OpenAI et d'autres chatbots basés sur l'IA pour améliorer les attaques par usurpation d'identité. Ils ont également été utilisés pour alimenter des deepfakes et diffuser de la désinformation, a déclaré Jackson dans une interview vidéo avec ZDNET. Il a ajouté que les forums de hackers proposaient des services permettant d'exploiter ChatGPT à des fins néfastes.
Dans une note publiée le mois dernier, Sergey Shykevich, responsable du groupe de renseignement sur les menaces de Check Point Technologies, a également noté que des signes indiquaient que les cybercriminels utilisaient ChatGPT pour accélérer l'écriture de leur code. Dans un cas, le fournisseur de sécurité a noté que l'outil avait été utilisé pour mener à bien un flux d'infection, ce qui comprenait la création d'un e-mail de spear phishing convaincant et d'un shell de réserve capable d'accepter des commandes en anglais.
Bien que les codes d'attaque développés jusqu'à présent restent assez basiques, Shykevich a déclaré que ce n'était qu'une question de temps avant que des acteurs malveillants plus sophistiqués améliorent la manière dont ils utilisent ces outils basés sur l'IA.
Certains « effets secondaires » émergeront des technologies qui alimentent les deepfakes et ChatGPT, a écrit Sammy Migues, scientifique principal du Synopsys Software Integrity Group, dans ses prédictions pour 2023. Les personnes qui ont besoin de conseils « d'experts » ou d'une assistance technique sur la façon de configurer un nouveau dispositif de sécurité peuvent se tourner vers ChatGPT. Ils peuvent également disposer de l’outil d’IA pour rédiger des modules de chiffrement ou parcourir des années de données de journal pour générer des révisions budgétaires.
"Les possibilités sont infinies", a déclaré Migues. "Bien sûr, l'IA n'est qu'un automate stupide qui crache des choses qu'elle a assemblées, mais elle peut être assez convaincante à première vue."
Utiliser l’IA pour combattre l’IA
Jackson a noté que l’émergence d’applications d’IA générative telles que ChatGPT entraînerait un changement significatif dans le cyber-paysage. Les outils de sécurité et de cyberdéfense devront alors être capables d'identifier les nouvelles menaces émergeant du fait des grands modèles de langage sur lesquels ces applications sont construites, a-t-il déclaré.
Cela est pertinent car les entreprises s’attendent à ce que de tels risques surviennent bientôt.
En Australie, 84 % des décideurs informatiques ont exprimé leurs inquiétudes quant aux menaces potentielles que pourraient représenter l'IA générative et les grands modèles linguistiques, selon une récente étude de BlackBerry, menée auprès de 500 personnes interrogées dans le pays.
La plus grande préoccupation, parmi la moitié des personnes interrogées, était que la technologie pourrait aider les pirates informatiques moins expérimentés à améliorer leurs connaissances et à développer des compétences plus spécialisées.
48 % supplémentaires étaient préoccupés par la capacité de ChatGPT à produire des messages électroniques de phishing plus crédibles et plus légitimes ; 36 % ont vu son potentiel pour accélérer les attaques d’ingénierie sociale.
Quelque 46 % s'inquiètent de son utilisation pour diffuser des informations erronées ou désinformantes, et 67 % pensent qu'il est probable que des pays étrangers utilisent déjà ChatGPT à des fins malveillantes.
Un peu plus de la moitié, soit 53 %, prévoyaient que le secteur serait dans moins d'un an avant de connaître la première cyberattaque réussie alimentée par la technologie de l'IA, tandis que 26 % ont déclaré que cela se produirait entre un et deux ans, et 12 % ont déclaré que ce serait le cas. prendre trois à cinq ans.
Et tandis que 32 % estiment que la technologie n’améliorera ni n’aggravera la cybersécurité, 24 % estiment qu’elle aggraverait le paysage des menaces. En revanche, 40 % estiment que cela pourrait contribuer à améliorer la cybersécurité.
Environ 90 % des personnes interrogées en Australie estiment que les gouvernements ont la responsabilité de réglementer les technologies avancées, telles que ChatGPT. 40 % supplémentaires estiment que les outils de cybersécurité sont actuellement à la traîne en matière d'innovation en matière de cybercriminalité, et 30 % notent que les cybercriminels bénéficieraient le plus de ChatGPT.
Cependant, environ 60 % des personnes interrogées estiment que c'est la technologie qui bénéficierait le plus aux chercheurs, tandis que 56 % estiment que les professions de la sécurité pourraient en bénéficier le plus.
Environ 85 % prévoient d’investir dans des outils de cybersécurité basés sur l’IA au cours des deux prochaines années.
Cependant, l’utilisation de l’IA et de l’automatisation des deux côtés pour lancer et se défendre contre les cyberattaques est loin d’être une nouveauté. Alors pourquoi toute cette agitation maintenant ?
Jackson a reconnu que l'IA était utilisée dans la cyberdéfense depuis des années, mais a noté que la particularité de ChatGPT et d'autres outils similaires était leur capacité à transformer des concepts intrinsèquement complexes, tels que les langages de codage, en quelque chose que tout le monde pouvait comprendre.
Ces outils fonctionnent sur de grands modèles de langage basés sur d’énormes quantités d’ensembles de données commerciales contextuelles et organisées. "Il est très puissant dans des domaines spécifiques", a-t-il noté. "ChatGPT est une ressource incroyablement puissante pour quiconque [qui souhaite] créer de bons codes ou, dans ce cas, des codes malveillants, tels que des scripts permettant de contourner la défense d'un réseau."
Il peut également être utilisé pour rechercher sur le Web le profil de réseaux sociaux d'individus spécifiques afin de les créer et de se faire passer pour eux à des fins d'attaques de spear phishing.
"L'impact le plus important concerne l'ingénierie sociale et l'usurpation d'identité", a-t-il déclaré, ajoutant que des outils tels que ChatGPT seront utilisés pour améliorer les campagnes de phishing.
Avec l’émergence de grands modèles linguistiques, il a souligné la nécessité de repenser les approches traditionnelles de cyberdéfense et de défense des données. Il a souligné l’importance d’exploiter l’IA et l’apprentissage automatique pour lutter contre les attaques basées sur l’IA.
Investir dans les capacités d’IA et d’apprentissage automatique aidera les organisations à identifier plus rapidement les menaces potentielles, ce qui est important, a-t-il déclaré. "Utiliser des humains n'est plus réaliste et ce ne l'est plus depuis quelques années."
Jackson a noté que BlackBerry travaillait sur l'algorithme nécessaire pour former les modèles à identifier les changements dans les techniques d'attaque et à bloquer le contenu malveillant qui semble être généré par de grands modèles de langage. Le volume et la vitesse seront essentiels, a-t-il ajouté, afin de pouvoir faire face aux attaques potentielles même si ChatGPT et des outils similaires continuent d'évoluer.
Il a en outre souligné que ces applications avaient également un impact positif sur l'industrie. BlackBerry, par exemple, utilise ChatGPT pour la recherche avancée des menaces, en exploitant sa capacité de codage pour digérer et analyser des scripts complexes, afin de pouvoir étudier leur fonctionnement et améliorer ses tactiques de défense.