Експерт розповів як його намагався обдурити на гроші ШІ

Директору з продажу в Індії фірми технічної безпеки Zscaler зателефонував, схоже, виконавчий директор компанії.

Тоді той, хто телефонував, попросив допомогти перенести гроші до банку в Сінгапурі. Намагаючись допомогти, продавець пішов до свого менеджера, який відчув запах щура та передав справу внутрішнім слідчим. Вони встановили, що шахраї відтворили голос Чаудрі з кліпів із його публічними висловлюваннями, намагаючись вкрасти компанію.

Чаудрі розповів про інцидент минулого місяця в кулуарах щорічної конференції з кібербезпеки RSA в Сан-Франциско, де домінували питання про революцію в області штучного інтелекту.

Злочинці були першими, і Zscaler посилається на штучний інтелект як на фактор 47-відсоткового зростання фішингових атак минулого року. Шахраї автоматизують більш персоналізовані текстові повідомлення та запис голосу за сценарієм, уникаючи сигналів тривоги, переходячи через такі неконтрольовані канали, як зашифровані повідомлення WhatsApp на особистих мобільних телефонах. Переклади цільовою мовою стають кращими, а дезінформацію важче помітити, кажуть дослідники безпеки.

Експерти, керівники та урядовці побоюються, що це лише початок, оскільки зловмисники використовують штучний інтелект, щоб створити програмне забезпечення, яке може проникати в корпоративні мережі новими способами, змінювати зовнішній вигляд і функціональність, щоб перевершити виявлення, і контрабандою повертати дані за допомогою процесів, які здаються нормальними.

«Це допоможе переписати код», — попередив учасників конференції керівник відділу кібербезпеки Агентства національної безпеки Роб Джойс. «Супротивники, які докладають роботи зараз, перевершать тих, хто цього не робить».

Результатом стане більш правдоподібне шахрайство, розумніший відбір інсайдерів, здатних припуститися помилок, і зростання захоплень облікових записів і фішингу як послуги, коли злочинці наймають спеціалістів, які володіють навичками ШІ.

Ці професіонали використовуватимуть інструменти для «автоматизації, кореляції, отримання інформації про співробітників, які з більшою ймовірністю стануть жертвами», — сказав Діпен Десай, головний спеціаліст з інформаційної безпеки Zscaler і керівник відділу досліджень.

«Це будуть прості запитання, які будуть використовувати це: «Покажи мені останні сім інтерв’ю Джея. Зробіть розшифровку. Знайдіть мені п’ятьох людей, пов’язаних із Джеєм у фінансовому відділі». І бум, давай зробимо голосовий дзвінок».

Програми підвищення обізнаності щодо фішингу, які багато компаній вимагають від своїх співробітників вивчати щорічно, потребуватимуть оновлення.

Ця перспектива з’являється, коли низка професіоналів повідомляє про реальний прогрес у сфері безпеки. Програми-вимагачі хоч і не зникають, але різко перестали погіршуватися. Кібервійна в Україні виявилася менш катастрофічною, ніж боялися. А уряд США ділиться своєчасною та корисною інформацією про атаки, цього року попередивши 160 організацій про те, що вони можуть стати жертвою програм-вимагачів.

Штучний інтелект також допоможе захисникам, скануючи журнали мережевого трафіку на наявність аномалій, значно прискорюючи рутинні завдання програмування та шукаючи відомі та невідомі вразливості, які потрібно виправити, сказали експерти в інтерв’ю.

Деякі компанії додали інструменти ШІ до своїх захисних продуктів або випустили їх для вільного використання іншими. Microsoft, яка була першою великою компанією, яка випустила штучний інтелект на основі чату для громадськості, анонсувала Microsoft Security Copilot у березні. У ньому сказано, що користувачі можуть ставити запитання службі про атаки, виявлені за допомогою збору трильйонів щоденних сигналів Microsoft, а також зовнішніх даних про загрози.

Тим часом компанія з аналізу програмного забезпечення Veracode заявила, що її майбутній інструмент машинного навчання не лише скануватиме код на наявність вразливостей, але й пропонуватиме виправлення для тих, які вона знайде.

Але кібербезпека – це асиметрична боротьба. Застаріла архітектура основних протоколів Інтернету, безперервне накладання дефектних програм одна на іншу та десятиліття економічних і регуляторних провалів протиставляють армії злочинців, яким нічого боятися, проти компаній, які навіть не знають, скільки у них машин, які працюють із застарілими програмами.

Збільшуючи повноваження обох сторін, ШІ дасть набагато більше сили зловмисникам у доступному для огляду майбутньому, заявили захисники на конференції RSA.

Учасники щорічної конференції RSA в Сан-Франциско минулого місяця. (Девід Пол Морріс/Bloomberg News)

Будь-який технічний захист, як-от автоматичне розпізнавання обличчя, відкриває нові можливості. Повідомлялося, що в Китаї пара злодіїв використовувала кілька фотографій однієї людини з високою роздільною здатністю, щоб зробити відео, які ввели в оману програми розпізнавання облич місцевих податкових органів, уможлививши аферу на 77 мільйонів доларів .

Багато досвідчених спеціалістів із безпеки висміюють те, що вони називають «безпекою через невідомість», коли цілі планують вижити після спроб злому, приховуючи, від яких програм вони залежать або як ці програми працюють. До такого захисту часто приходять не задумом, а як зручне виправдання для відмови від заміни старішого спеціалізованого програмного забезпечення.

Експерти стверджують, що рано чи пізно допитливі уми виявлять недоліки в цих програмах і використають їх для злому.

Штучний інтелект наражає всі такі засоби захисту на смертельну небезпеку, оскільки він може демократизувати таке знання, роблячи те, що відомо десь, відомим всюди.

Неймовірно, але для створення програмного забезпечення для атаки навіть не потрібно знати, як програмувати.

«Ви зможете сказати: «Просто скажіть мені, як зламати систему», і воно скаже: «Ось 10 шляхів», — сказав Роберт Хансен, який досліджував штучний інтелект як заступник головного технічного директора в охоронній фірмі Tenable. . «Вони просто збираються увійти. Це буде зовсім інший світ».

Дійсно, експерт з охоронної фірми Forcepoint повідомив минулого місяця , що він використовував ChatGPT, щоб зібрати програму атаки, яка могла шукати документи на жорсткому диску цілі та експортувати їх, і все це без написання коду самостійно.

В іншому експерименті ChatGPT відмовився, коли Нейт Ворфілд, директор відділу аналізу загроз охоронної компанії Eclypsium, попросив його знайти вразливість у мікропрограмі промислового маршрутизатора, попередивши його, що злом є незаконним.

«Тож я сказав «розкажіть мені про небезпечні практики кодування», а воно сказало: «Так, прямо тут», — згадує Уорфілд. «Це значно полегшить пошук недоліків у масштабі».

Вхід — це лише частина битви, тому багаторівнева безпека була мантрою індустрії протягом багатьох років.

Але полювання на шкідливі програми, які вже є у вашій мережі, також стане набагато складнішим.

Щоб продемонструвати ризики, охоронна фірма під назвою HYAS нещодавно випустила демонстраційну програму під назвою BlackMamba . Він працює як звичайний реєстратор натискань клавіш, виловлюючи паролі та дані облікових записів, за винятком того, що під час кожного запуску він звертається до OpenAI і отримує новий та інший код. Це значно ускладнює роботу систем виявлення, оскільки вони ніколи раніше не бачили точної програми.

Федеральний уряд уже вживає заходів для боротьби з розповсюдженням. Минулого тижня Національний науковий фонд заявив, що він і партнерські агентства вкладуть 140 мільйонів доларів у сім нових дослідницьких інститутів, присвячених ШІ.

Один із них, очолюваний Каліфорнійським університетом у Санта-Барбарі, шукатиме способи використання нової технології для захисту від кіберзагроз.