Generativ AI i cybersäkerhet: Slagfältet, Hotet, & Nu Försvar

Slagfältet

Vad som började som upphetsning kring Generativ AI:s förmågor har snabbt förvandlats till oro. Generativ AI-verktyg som ChatGPT, Google Bard, Dall-E med mera fortsätter att göra rubriker på grund av säkerhets- och sekretessproblem. Det leder till att man ifrågasätter vad som är verkligt och vad som inte är det. Generativ AI kan producera högst trovärdigt och därmed övertygande innehåll. Så mycket att i slutet av ett nyligt 60 Minutes-segment om AI, lämnade programledaren Scott Pelley tittarna med följande uttalande; “Vi avslutar med en notis som aldrig tidigare har visats på 60 Minutes, men en som, i AI-revolutionen, du kan höra ofta: det föregående skapades med 100% mänskligt innehåll.”

Den Generativa AI-cyberkriget börjar med detta övertygande och verkliga innehåll och slagfältet är där hackare utnyttjar Generativ AI, med hjälp av verktyg som ChatGPT med mera. Det är extremt lätt för cyberkriminella, särskilt de med begränsade resurser och noll teknisk kunskap, att utföra sina brott genom social ingenjörskonst, phishing och imitationer.

Hotet

Generativ AI har kraften att bränsle alltmer sofistikerade cyberattacker.

Eftersom tekniken kan producera så trovärdigt och mänskligt innehåll med lätthet, är nya cyberbedrägerier som utnyttjar AI svårare för säkerhetsteam att upptäcka. AI-genererade bedrägerier kan komma i form av social ingenjörskonstattacker som multikanalsphishingattacker som utförs via e-post och meddelandeappar. Ett verkligt exempel kan vara ett e-postmeddelande eller meddelande som innehåller ett dokument som skickas till en företagsledare från en tredjepartsleverantör via Outlook (E-post) eller Slack (Meddelandeapp). E-postmeddelandet eller meddelandet instruerar dem att klicka på det för att visa en faktura. Med Generativ AI kan det vara nästan omöjligt att skilja på ett falskt och ett riktigt e-postmeddelande eller meddelande. Det är därför det är så farligt.

Ett av de mest alarmerande exemplen är att cyberkriminella med Generativ AI kan producera attacker på flera språk – oavsett om hackaren faktiskt talar språket. Målet är att kasta ett brett nät och cyberkriminella kommer inte att diskriminera offer baserat på språk.

Framstegen inom Generativ AI signalerar att omfattningen och effektiviteten av dessa attacker kommer att fortsätta att öka.

Försvar

Cyberförsvar för Generativ AI har varit den saknade biten i pusslet. Tills nu. Genom att använda maskin-mot-maskin-strid, eller fästa AI mot AI, kan vi försvara oss mot detta nya och växande hot. Men hur ska denna strategi definieras och hur ser den ut?

Först måste branschen agera för att fästa dator mot dator istället för människa mot dator. För att fullfölja detta arbete måste vi överväga avancerade upptäcktsplattformar som kan upptäcka AI-genererade hot, minska tiden det tar att flagga och tiden det tar att lösa en social ingenjörskonstattack som har sitt ursprung i Generativ AI. Något som en människa inte kan göra.

Vi genomförde nyligen ett test för att se hur detta kan se ut. Vi hade ChatGPT skapa ett språkbaserat callback-phishing-e-postmeddelande på flera språk för att se om en Natural Language Understanding-plattform eller en avancerad upptäcktsplattform kunde upptäcka det. Vi gav ChatGPT kommandot, “skriv ett brådskande e-postmeddelande som uppmanar någon att ringa om en slutgiltig avisering om ett programvarulicensavtal.” Vi instruerade det också att skriva det på engelska och japanska.

Den avancerade upptäcktsplattformen kunde omedelbart flagga e-postmeddelandena som en social ingenjörskonstattack. MEN, infödda e-postkontroller som Outlooks phishing-upptäcktsplattform kunde inte. Även innan lanseringen av ChatGPT visade sig social ingenjörskonst som utfördes via konversationsbaserade, språkbaserade attacker vara framgångsrika eftersom de kunde undvika traditionella kontroller och hamna i inkorgen utan en länk eller nyttolast. Så ja, det kräver maskin-mot-maskin-strid för att försvara, men vi måste också se till att vi använder effektiv artilleri, som en avancerad upptäcktsplattform. Alla som har dessa verktyg till sitt förfogande har en fördel i kampen mot Generativ AI.

När det gäller omfattningen och trovärdigheten av sociala ingenjörskonstattacker som ges av ChatGPT och andra former av Generativ AI, kan maskin-mot-maskin-försvar också förfinas. Till exempel kan detta försvar deployeras på flera språk. Det behöver inte heller begränsas till e-postsäkerhet utan kan användas för andra kommunikationskanaler som appar som Slack, WhatsApp, Teams med mera.

Var Vaksam

När vi bläddrade igenom LinkedIn, kom en av våra anställda över ett Generativ AI-socialt ingenjörskonstförsök. En konstig “vitbok”-nedladdningsannons visade sig med vad som bara kan beskrivas som “bisarr” annonskreativitet. Vid närmare granskning såg medarbetaren ett karakteristiskt färgmönster i nedre högra hörnet som stämplats på bilder producerade av Dall-E, en AI-modell som genererar bilder från textbaserade kommandon.

Att möta detta falska LinkedIn-annons var en betydande påminnelse om de nya sociala ingenjörskonstfarorna som nu dyker upp när de kombineras med Generativ AI. Det är mer kritiskt än någonsin att vara vaksam och misstänksam.

Åldern för generativ AI som används för cyberbrott är här, och vi måste vara vaksamma och redo att slå tillbaka med alla verktyg vi har till vårt förfogande.