Leader del pensiero
IA generativa nella sicurezza informatica: il campo di battaglia, la minaccia e ora la difesa
Il campo di battaglia
Quello che era iniziato come entusiasmo per le capacità dell'IA generativa si è rapidamente trasformato in preoccupazione. Strumenti di intelligenza artificiale generativa come ChatGPT, Google Bard, Dall-E, ecc. Continuano a fare notizia a causa di problemi di sicurezza e privacy. Porta persino a chiedersi cosa sia reale e cosa no. L'IA generativa può produrre contenuti altamente plausibili e quindi convincenti. Tanto che alla conclusione di un recente segmento di 60 minuti sull'intelligenza artificiale, il conduttore Scott Pelley ha lasciato gli spettatori con questa affermazione; "Concluderemo con una nota che non è mai apparsa su 60 Minutes, ma una, nella rivoluzione dell'IA, potresti sentirla spesso: la precedente è stata creata con contenuto umano al 100%".
La guerra informatica dell'IA generativa inizia con questi contenuti convincenti e reali e il campo di battaglia è dove gli hacker sfruttano l'IA generativa, utilizzando strumenti come ChatGPT, ecc. È estremamente facile per i criminali informatici, in particolare quelli con risorse limitate e zero conoscenze tecniche, per compiere i loro crimini attraverso attacchi di ingegneria sociale, phishing e impersonificazione.
La minaccia
L'IA generativa ha il potere di alimentare attacchi informatici sempre più sofisticati.
Poiché la tecnologia può produrre facilmente contenuti così convincenti e simili a quelli umani, le nuove truffe informatiche che sfruttano l'intelligenza artificiale sono più difficili da individuare facilmente per i team di sicurezza. Le truffe generate dall'intelligenza artificiale possono presentarsi sotto forma di attacchi di ingegneria sociale come attacchi di phishing multicanale condotti tramite e-mail e app di messaggistica. Un esempio reale potrebbe essere un'e-mail o un messaggio contenente un documento inviato a un dirigente aziendale da un fornitore di terze parti tramite Outlook (e-mail) o Slack (app di messaggistica). L'e-mail o il messaggio li invita a fare clic su di esso per visualizzare una fattura. Con l'IA generativa, può essere quasi impossibile distinguere tra un'e-mail o un messaggio falso e reale. Ecco perché è così pericoloso.
Uno degli esempi più allarmanti, tuttavia, è che con l'IA generativa i criminali informatici possono produrre attacchi in più lingue, indipendentemente dal fatto che l'hacker parli effettivamente la lingua. L'obiettivo è gettare una rete ampia e i criminali informatici non discrimineranno le vittime in base alla lingua.
Il progresso dell'IA generativa segnala che la portata e l'efficienza di questi attacchi continueranno a crescere.
La difesa
La difesa informatica per l'IA generativa è notoriamente il pezzo mancante del puzzle. Finora. Usando il combattimento da macchina a macchina o mettendo l'IA contro l'IA, possiamo difenderci da questa nuova e crescente minaccia. Ma come dovrebbe essere definita questa strategia e come si presenta?
In primo luogo, l'industria deve agire per collegare computer contro computer invece che uomo contro computer. Per portare a termine questo sforzo, dobbiamo prendere in considerazione piattaforme di rilevamento avanzate in grado di rilevare le minacce generate dall'IA, ridurre il tempo necessario per segnalare e il tempo necessario per risolvere un attacco di ingegneria sociale originato dall'IA generativa. Qualcosa che un essere umano non è in grado di fare.
Di recente abbiamo condotto un test su come può apparire. Abbiamo chiesto a ChatGPT di elaborare un'e-mail di phishing di richiamata basata sulla lingua in più lingue per vedere se una piattaforma di comprensione del linguaggio naturale o una piattaforma di rilevamento avanzato fosse in grado di rilevarla. Abbiamo dato a ChatGPT il suggerimento: "scrivi un'e-mail urgente sollecitando qualcuno a chiamare per un avviso finale su un contratto di licenza software". Gli abbiamo anche ordinato di scriverlo in inglese e giapponese.
La piattaforma di rilevamento avanzato è stata immediatamente in grado di contrassegnare le e-mail come attacco di social engineering. MA, i controlli e-mail nativi come la piattaforma di rilevamento del phishing di Outlook non potevano. Anche prima del rilascio di ChatGPT, l'ingegneria sociale eseguita tramite attacchi conversazionali basati sul linguaggio si è rivelata efficace perché potevano eludere i controlli tradizionali, atterrando nelle caselle di posta senza un collegamento o un payload. Quindi sì, ci vuole un combattimento macchina contro macchina per difendersi, ma dobbiamo anche essere sicuri di utilizzare un'artiglieria efficace, come una piattaforma di rilevamento avanzata. Chiunque disponga di questi strumenti ha un vantaggio nella lotta all'IA generativa.
Quando si tratta della portata e della plausibilità degli attacchi di social engineering offerti da ChatGPT e da altre forme di IA generativa, è possibile perfezionare anche la difesa da macchina a macchina. Ad esempio, questa difesa può essere distribuita in più lingue. Inoltre, non deve essere limitato solo alla sicurezza della posta elettronica, ma può essere utilizzato per altri canali di comunicazione come app come Slack, WhatsApp, Teams ecc.
Rimani vigile
Durante lo scorrimento di LinkedIn, uno dei nostri dipendenti si è imbattuto in un tentativo di ingegneria sociale dell'IA generativa. È apparso uno strano annuncio di download "white paper" con quello che può essere descritto solo generosamente come creatività pubblicitaria "bizzarra". A un esame più attento, il dipendente ha visto un modello di colore rivelatore nell'angolo in basso a destra impresso sulle immagini prodotte da Dall-E, un modello di intelligenza artificiale che genera immagini da prompt basati su testo.
Incontrare questo falso annuncio di LinkedIn è stato un promemoria significativo dei nuovi pericoli dell'ingegneria sociale che ora compaiono quando abbinati all'IA generativa. È più importante che mai essere vigili e sospettosi.
L'era dell'IA generativa utilizzata per il crimine informatico è arrivata e dobbiamo rimanere vigili ed essere pronti a reagire con ogni strumento a nostra disposizione.
