分析师分享了 2023 年 8 项 ChatGPT 安全预测

分析师分享了 2023 年 8 项 ChatGPT 安全预测

上周 ChatGPT-4 的发布震惊了世界,但陪审团仍然不知道它对数据安全领域意味着什么。一方面,生成恶意软件和勒索软件比以往任何时候都容易。另一方面,有一系列新的防御用例。

最近,VentureBeat 与一些世界顶级网络安全分析师进行了交谈,以收集他们对 2023 年 ChatGPT 和生成式人工智能的预测。专家的预测包括:

  • ChatGPT将降低网络犯罪的准入门槛。
  • 制作令人信服的网络钓鱼电子邮件将变得更加容易。
  • 组织将需要具备人工智能知识的安全专业人员。
  • 企业将需要验证生成式AI输出。
  • 生成式人工智能将扩大现有威胁的规模。
  • 公司将定义对ChatGPT使用的期望。
  • 人工智能将增强人为因素。
  • 组织仍将面临同样的旧威胁。

以下是他们回复的编辑记录。

1. ChatGPT 将降低网络犯罪的准入门槛

“ChatGPT 降低了进入门槛,使传统上需要高技能人才和大量资金的技术可供任何可以访问互联网的人使用。技能较低的攻击者现在有办法批量生成恶意代码。

“例如,他们可以要求程序编写代码,向数百人生成短信,就像非犯罪营销团队一样。它不会将收件人带到安全站点,而是将他们定向到具有恶意负载的站点。代码本身不是恶意的,但它可用于传递危险内容。

“与任何新兴技术或应用一样,各有利弊。ChatGPT将被好人和坏人使用,网络安全社区必须对它被利用的方式保持警惕。

— Steve Grobman,McAfee 高级副总裁兼首席技术官 

2. 制作令人信服的网络钓鱼电子邮件将变得更加容易

“从广义上讲,生成人工智能是一种工具,像所有工具一样,它可以用于好的或邪恶的目的。已经引用了许多用例,其中威胁行为者和好奇的研究人员正在制作更具说服力的网络钓鱼电子邮件,生成基线恶意代码和脚本以发起潜在攻击,甚至只是查询更好,更快的情报。

“但对于每一个滥用案例,将继续采取控制措施来应对它们;这就是网络安全的本质——一场永无止境的竞赛,以超越对手并超越防御者。

“与任何可用于伤害的工具一样,必须设置护栏和保护措施,以保护公众免受滥用。实验和剥削之间有一条非常细的道德界限。

——贾斯汀·格雷斯(Justin Greis),麦肯锡公司合伙人 

3. 组织将需要具备人工智能知识的安全专业人员

“ChatGPT已经风靡全球,但我们对网络安全领域的影响仍处于起步阶段。它标志着分界线两侧采用AI/ML的新时代的开始,与其说是因为ChatGPT可以做什么,不如说是因为它迫使AI/ML成为公众关注的焦点。

“一方面,ChatGPT有可能被用来使社会工程民主化 - 为没有经验的威胁行为者提供新发现的能力,以快速轻松地生成借口诈骗,大规模部署复杂的网络钓鱼攻击。

“另一方面,在创建新颖的攻击或防御时,ChatGPT的能力要差得多。这不是失败,因为我们要求它做一些它没有被训练做的事情。

“这对安全专业人员意味着什么?我们可以安全地忽略ChatGPT吗?不。作为安全专业人员,我们中的许多人已经测试了 ChatGPT,以了解它执行基本功能的能力。它可以写我们的渗透测试建议吗?网络钓鱼借口?如何帮助建立攻击基础设施和 C2?到目前为止,结果好坏参半。

“然而,关于安全的更大讨论不是关于ChatGPT。这是关于我们今天是否有安全角色的人了解如何构建,使用和解释AI / ML技术。

— David Hoelzer,SANS研究所SANS研究员

4. 企业将需要验证生成式 AI 输出

“在某些情况下,当安全人员不验证其输出时,ChatGPT 将导致比它解决的问题更多的问题。例如,它将不可避免地错过漏洞,并给公司一种虚假的安全感。

“同样,它将错过它被告知要检测的网络钓鱼攻击。它将提供不正确或过时的威胁情报。

“因此,我们肯定会在 2023 年看到 ChatGPT 将对丢失的攻击和漏洞负责,这些攻击和漏洞会导致使用它的组织发生数据泄露。”

— Avivah Litan,Gartner分析师 

5. 生成式 AI 将升级现有威胁

“像许多新技术一样,我认为ChatGPT不会引入新的威胁 - 我认为它将对安全环境产生的最大变化是扩展,加速和增强现有威胁,特别是网络钓鱼。

“在基本层面上,ChatGPT可以为攻击者提供语法正确的网络钓鱼电子邮件,这是我们今天并不总是看到的。

“虽然 ChatGPT 仍然是一种离线服务,但威胁行为者开始结合互联网接入、自动化和人工智能来创建持续的高级攻击只是时间问题。

“有了聊天机器人,你不需要人工垃圾邮件发送者来写诱饵。相反,他们可以编写一个脚本,上面写着“使用互联网数据来熟悉某某,并不断向他们发送消息,直到他们点击链接。

“网络钓鱼仍然是网络安全漏洞的主要原因之一。让自然语言机器人使用分布式鱼叉式网络钓鱼工具同时对数百名用户进行大规模工作将使安全团队更难完成工作。

— Rob Hughes,RSA 首席信息安全官 

6. 公司将定义对 ChatGPT 使用的期望

“随着组织探索 ChatGPT 的用例,安全性将成为首要考虑因素。以下是一些有助于在 2023 年领先于炒作的步骤:

  1. 设定如何在企业环境中使用 ChatGPT 和类似解决方案的期望。制定可接受的使用政策;定义员工可以依赖的所有已批准解决方案、用例和数据的列表;并要求建立检查以验证答复的准确性。
  2. 建立内部流程,以审查有关使用认知自动化解决方案的法规的影响和演变,特别是在适当的情况下,知识产权,个人数据以及包容性和多样性的管理。
  3. 实施技术网络控制,特别注意测试代码的运营弹性和扫描恶意负载。其他控制包括但不限于:多因素身份验证和仅允许授权用户访问;数据丢失防护解决方案的应用;确保工具生成的所有代码都经过标准审查并且不能直接复制到生产环境中的流程;以及配置 Web 过滤,以便在员工访问未经批准的解决方案时提供警报。

— Matt Miller,毕马威网络安全服务负责人 

7. 人工智能将增强人为因素

“与大多数新技术一样,ChatGPT将成为对手和防御者的资源,对抗性用例包括侦察和寻求最佳实践的防御者以及威胁情报市场。与其他 ChatGPT 用例一样,随着用户测试响应的保真度,里程会有所不同,因为系统是在已经庞大且不断增长的数据语料库上进行训练的。

“虽然用例将在等式的两边扩展,但在队列中的成员之间共享威胁情报以进行威胁搜寻并更新规则和防御模型是有希望的。然而,ChatGPT是人工智能增强而不是取代在任何类型的威胁调查中应用上下文所需的人为因素的另一个例子。

— Doug Cahill,ESG分析师服务高级副总裁兼高级分析师 

8. 组织仍将面临同样的旧威胁

“虽然ChatGPT是一个强大的语言生成模型,但这项技术不是一个独立的工具,不能独立运行。它依赖于用户输入,并受到训练数据的限制。

“例如,模型生成的网络钓鱼文本仍然需要从电子邮件帐户发送并指向网站。这些都是可以分析以帮助检测的传统指标。

“尽管ChatGPT有能力编写漏洞和有效载荷,但测试表明这些功能并不像最初建议的那样好。该平台还可以编写恶意软件;虽然这些代码已经在网上可用并且可以在各种论坛上找到,但 ChatGPT 使大众更容易访问它。

“但是,这种变化仍然有限,这使得使用基于行为的检测和其他方法检测此类恶意软件变得简单。ChatGPT 并非专门针对或利用漏洞而设计的;但是,它可能会增加自动或模拟消息的频率。它降低了网络犯罪分子的进入门槛,但它不会为已经建立的团体带来全新的攻击方法。

椰有料原创,作者:小椰子啊,转载请注明出处:http://www.studioyz.com/2120.html

0

扫一扫,分享到微信

猜你喜欢

文章评论

电子邮件地址不会被公开。 必填项已用*标注

后发表评论

上一篇

语音AI,云中的超级计算以及用于LLM和生成AI的GPU,是Nvidia的下一个重大举措

下一篇

随着OpenAI竞争对手Character AI宣布1亿美元的估值,“工业捕获”的报道出现了

微信公众号

微信公众号