Generativ AI i cybersäkerhet: Slagfältet, Hotet, Försvar och Förbli Vigilant

Slagfältet

Vad som började som upphetsning kring Generativ AI:s förmågor har snabbt förvandlats till oro. Generativ AI-verktyg som ChatGPT, Google Bard, Dall-E med flera fortsätter att göra rubriker på grund av säkerhets- och sekretessproblem. Det leder till frågor om vad som är verkligt och vad som inte är det. Generativ AI kan producera högst trovärdigt och därmed övertygande innehåll. Så mycket att i slutet av en nylig 60 Minutes-segment om AI, lämnade programledaren Scott Pelley tittarna med följande uttalande; “Vi avslutar med en notis som aldrig tidigare har visats på 60 Minutes, men en som, i AI-revolutionen, ni kanske kommer att höra ofta: det föregående skapades med 100% mänskligt innehåll.”

Generativ AI-cyberkriget börjar med detta övertygande och verkliga innehåll och slagfältet är där hackare utnyttjar Generativ AI, med hjälp av verktyg som ChatGPT med mera. Det är extremt lätt för cyberkriminella, särskilt de med begränsade resurser och noll teknisk kunskap, att utföra sina brott genom social ingenjörskonst, phishing och imitationer.

Hotet

Generativ AI har kraften att bränsle alltmer sofistikerade cyberattacker.

Eftersom tekniken kan producera så övertygande och mänskligt innehåll med lätthet, är nya cyberbedrägerier som utnyttjar AI svårare för säkerhetsteam att upptäcka. AI-genererade bedrägerier kan komma i form av social ingenjörskonst, såsom multi-kanalsphishingattacker som utförs via e-post och meddelandeappar. Ett verkligt exempel kan vara ett e-postmeddelande eller meddelande som innehåller ett dokument som skickas till en företagsledare från en tredjepartsleverantör via Outlook (e-post) eller Slack (meddelandeapp). E-postmeddelandet eller meddelandet instruerar dem att klicka på det för att visa en faktura. Med Generativ AI kan det vara nästan omöjligt att skilja på ett falskt och ett riktigt e-postmeddelande eller meddelande. Vilket är varför det är så farligt.

En av de mest alarmerande exemplen är dock att med Generativ AI, kan cyberkriminella producera attacker över flera språk – oavsett om hackaren faktiskt talar språket. Målet är att kasta en bred nät och cyberkriminella kommer inte att diskriminera offer baserat på språk.

Utvecklingen av Generativ AI signalerar att omfattningen och effektiviteten av dessa attacker kommer att fortsätta att öka.

Försvar

Cyberförsvar för Generativ AI har varit den saknade biten i pusslet. Tills nu. Genom att använda maskin-mot-maskin-strid, eller fästa AI mot AI, kan vi försvara oss mot detta nya och växande hot. Men hur ska denna strategi definieras och hur ser den ut?

Först måste branschen agera för att fästa dator mot dator istället för människa mot dator. För att genomföra detta, måste vi överväga avancerade upptäcktsplattformar som kan upptäcka AI-genererade hot, minska tiden det tar att flagga och tiden det tar att lösa en social ingenjörskonstattack som har sitt ursprung i Generativ AI. Något som en människa inte kan göra.

Vi genomförde nyligen ett test för att se hur detta kan se ut. Vi lät ChatGPT skapa ett språkbaserat callback-phishing-e-postmeddelande på flera språk för att se om en Natural Language Understanding-plattform eller en avancerad upptäcktsplattform kunde upptäcka det. Vi gav ChatGPT kommandot, “skriv ett brådskande e-postmeddelande som uppmanar någon att ringa om en slutgiltig avisering om ett programvarulicensavtal.” Vi instruerade det också att skriva det på engelska och japanska.

Den avancerade upptäcktsplattformen kunde omedelbart flagga e-postmeddelandena som en social ingenjörskonstattack. MEN, infödda e-postkontroller som Outlooks phishing-upptäcktsplattform kunde inte. Även innan lanseringen av ChatGPT, visade sig social ingenjörskonst via konversationsbaserade, språkbaserade attacker vara framgångsrika eftersom de kunde undvika traditionella kontroller och hamna i inkorgen utan en länk eller payload. Så ja, det kräver maskin-mot-maskin-strid för att försvara, men vi måste också se till att vi använder effektivt artilleri, som en avancerad upptäcktsplattform. Alla som har dessa verktyg till sitt förfogande har en fördel i kampen mot Generativ AI.

När det gäller omfattningen och trovärdigheten av sociala ingenjörskonstattacker som tillhandahålls av ChatGPT och andra former av Generativ AI, kan maskin-mot-maskin-försvar också förfinas. Till exempel kan detta försvar deployeras på flera språk. Det behöver inte heller begränsas till e-postsäkerhet, utan kan användas för andra kommunikationskanaler som appar som Slack, WhatsApp, Teams med mera.

Förbli Vigilant

När vi bläddrade igenom LinkedIn, stötte en av våra anställda på ett Generativ AI-socialt ingenjörskonstförsök. En underlig “vitbok”-ladda-reklam visade sig med vad som bara kan beskrivas som “bisarr” reklamkreativitet. Vid närmare granskning, såg medarbetaren en karakteristisk färgmönster i nedre högra hörnet som var stämplad på bilder producerade av Dall-E, en AI-modell som genererar bilder från textbaserade kommandon.

Att möta detta falska LinkedIn-annons var en betydande påminnelse om nya sociala ingenjörskonstfaror som nu dyker upp när de kombineras med Generativ AI. Det är mer kritiskt än någonsin att vara vaksam och misstänksam.

Åldern för generativ AI som används för cyberbrott är här, och vi måste förbli vaksamma och vara beredda att slå tillbaka med alla verktyg som står till vårt förfogande.