Generativ AI i cybersäkerhet: slagfältet, hotet och nu försvaret

Slagfältet

Det som började som spänning kring funktionerna hos Generative AI har snabbt övergått till oro. Generativa AI-verktyg som ChatGPT, Google Bard, Dall-E, etc. fortsätter att skapa rubriker på grund av säkerhets- och integritetsproblem. Det leder till och med till ifrågasättande om vad som är verkligt och vad som inte är det. Generativ AI kan pumpa ut mycket rimligt och därför övertygande innehåll. Så mycket att i slutet av ett nyligen 60 Minutes-segment om AI lämnade programledaren Scott Pelley tittarna detta uttalande; "Vi avslutar med en anteckning som aldrig har dykt upp på 60 Minutes, men en, i AI-revolutionen kanske du hör ofta: den föregående skapades med 100 % mänskligt innehåll."

Det generativa AI-cyberkriget börjar med detta övertygande och verkliga innehåll och slagfältet är där hackare utnyttjar Generativ AI, med hjälp av verktyg som ChatGPT, etc. Det är extremt enkelt för cyberbrottslingar, särskilt de med begränsade resurser och noll teknisk kunskap, att utföra sina brott genom social ingenjörskonst, nätfiske och identitetsattacker.

Hotet

Generativ AI har kraften att underblåsa allt mer sofistikerade cyberattacker.

Eftersom tekniken lätt kan producera sådant övertygande och mänskligt innehåll är nya cyberbedrägerier som utnyttjar AI svårare för säkerhetsteam att enkelt upptäcka. AI-genererade bedrägerier kan komma i form av sociala ingenjörsattacker såsom flerkanaliga nätfiskeattacker som utförs via e-post och meddelandeappar. Ett exempel i verkligheten kan vara ett e-postmeddelande eller ett meddelande som innehåller ett dokument som skickas till en företagsledare från en tredjepartsleverantör via Outlook (e-post) eller Slack (meddelandeapp). E-postmeddelandet eller meddelandet uppmanar dem att klicka på det för att se en faktura. Med Generativ AI kan det vara nästan omöjligt att skilja mellan ett falskt och ett äkta e-post eller meddelande. Det är därför det är så farligt.

Ett av de mest alarmerande exemplen är dock att med Generativ AI kan cyberbrottslingar producera attacker på flera språk – oavsett om hackaren faktiskt talar språket. Målet är att sprida ett brett nät och cyberbrottslingar kommer inte att diskriminera offren baserat på språk.

Framstegen med Generativ AI signalerar att omfattningen och effektiviteten av dessa attacker kommer att fortsätta att öka.

Försvaret

Cyberförsvar för Generative AI har notoriskt varit den saknade pusselbiten. Tills nu. Genom att använda maskin-till-maskin-strid, eller fästa AI mot AI, kan vi försvara oss mot detta nya och växande hot. Men hur ska denna strategi definieras och hur ser den ut?

För det första måste industrin agera för att fästa dator mot dator istället för människa kontra dator. För att fullfölja detta arbete måste vi överväga avancerade detektionsplattformar som kan upptäcka AI-genererade hot, minska tiden det tar att flagga och tiden det tar att lösa en social ingenjörsattack som härrörde från Generativ AI. Något en människa inte klarar av.

Vi har nyligen genomfört ett test av hur detta kan se ut. Vi lät ChatGPT skapa ett språkbaserat nätfiske-e-postmeddelande för återuppringning på flera språk för att se om en plattform för Natural Language Understanding eller avancerad detektionsplattform kunde upptäcka det. Vi gav ChatGPT uppmaningen, "skriv ett brådskande e-postmeddelande och uppmanar någon att ringa om ett sista meddelande om ett programvarulicensavtal." Vi befallde den också att skriva den på engelska och japanska.

Den avancerade upptäcktsplattformen kunde omedelbart flagga e-postmeddelandena som en social ingenjörsattack. MEN, inbyggda e-postkontroller som Outlooks plattform för upptäckt av nätfiske kunde inte. Redan före lanseringen av ChatGPT visade sig social ingenjörskonst som gjorts via konversations-, språkbaserade attacker vara framgångsrika eftersom de kunde undvika traditionella kontroller och landa i inkorgar utan länk eller nyttolast. Så ja, det krävs maskin- kontra maskinstrid för att försvara, men vi måste också vara säkra på att vi använder effektivt artilleri, såsom en avancerad detektionsplattform. Alla som har dessa verktyg till sitt förfogande har en fördel i kampen mot Generativ AI.

När det kommer till omfattningen och rimligheten av sociala ingenjörsattacker som erbjuds av ChatGPT och andra former av generativ AI, kan maskin-till-maskin-försvar också förfinas. Till exempel kan detta försvar distribueras på flera språk. Det behöver inte bara vara begränsat till e-postsäkerhet utan kan användas för andra kommunikationskanaler som appar som Slack, WhatsApp, Teams etc.

Förbli vaksam

När en av våra anställda bläddrade igenom LinkedIn stötte en av våra anställda på ett försök med generativ AI-social ingenjörskonst. En konstig "whitepaper"-nedladdningsannons dök upp med vad som bara generöst kan beskrivas som "bisarr" annonsreklam. Vid närmare granskning såg den anställde ett tydligt färgmönster i det nedre högra hörnet stämplat på bilder producerade av Dall-E, en AI-modell som genererar bilder från textbaserade uppmaningar.

Att möta denna falska LinkedIn-annons var en betydande påminnelse om nya sociala ingenjörsfaror som nu dyker upp i kombination med Generativ AI. Det är viktigare än någonsin att vara vaksam och misstänksam.

Åldern för generativ AI som används för cyberbrottslighet är här, och vi måste vara vaksamma och vara beredda att slå tillbaka med alla verktyg som står till vårt förfogande.