ChatGPT peut-il révolutionner la cybersécurité

efks - stock.adobe.com

Avec l'apprentissage automatique (ML), l'intelligence artificielle (IA) représente à la fois la réponse à de nombreux défis de cybersécurité et l'avenir dystopique présenté par tous les bons films et livres de science-fiction apocalyptiques.

Au-delà de l'inclusion de l'IA dans de nombreux jeux de diapositives de fournisseurs comme moyen de positionner la technologie de nouvelle génération et une approche plus avancée et automatisée de la technologie, elle devient de plus en plus courante en tant que concept. À la fin de 2022, il s'est écrasé dans la sensibilisation du public d'une toute nouvelle manière avec le lancement de ChatGPT, une partie de la plate-forme OpenAI qui permet un dialogue conversationnel pour répondre aux questions, engager un dialogue et fournir des réponses détaillées.

Cette avancée par rapport à une requête Google glorifiée a stimulé l'imagination, avec la prise de conscience des étudiants qui cherchent à accélérer les réponses aux essais sans le besoin frustrant de lire les documents sources au premier plan, suivis par les enseignants qui cherchent à automatiser de la même manière le marquage.

Quiconque a souffert aux mains d'un chatbot de site Web en essayant d'obtenir de l'aide ou une réponse à une question vaguement complexe a également vu l'espoir dans la possibilité d'un résultat plus positif en parlant à un ordinateur. Sans aucun doute, cela a ouvert un monde de potentiel pour que l'IA ait un impact sur la façon dont nous interagissons avec la technologie au quotidien en tant qu'individus, plutôt qu'une simple boîte noire mystérieuse alimentant des systèmes allant des prévisions météorologiques aux fusées spatiales.

Inévitablement, l'impact potentiel sur la cybersécurité devient également rapidement un sujet de conversation clé - des deux côtés. Pour les attaquants, il y avait instantanément la possibilité de transformer un texte de phishing basique, souvent enfantin, en structures plus professionnelles, ainsi que la possibilité d'automatiser l'engagement avec plusieurs victimes potentielles essayant de trouver leur chemin hors du piège du ransomware dans lequel ils sont tombés.

Pour les défenseurs, cela pourrait-il également offrir la possibilité de révolutionner les processus, tels que la vérification du code ou l'amélioration de l'éducation au phishing ? Il en est à un stade très précoce et présente certainement un certain nombre de défauts (notamment la façon dont vous jouez avec le système pour produire des réponses malveillantes malgré les protections intégrées), mais il a élargi le débat sur la manière dont l'IA peut changer le secteur de la cybersécurité. .

En tant que nouvel outil, ChatGPT est amusant à jouer - et comme le dit Dave Barnett, responsable du service d'accès sécurisé (SASE) et de la sécurité des e-mails pour l'Europe, le Moyen-Orient et l'Afrique (EMEA) chez Cloudflare : système - quiconque a demandé à ChatGPL d'expliquer un concept technique obscur sous la forme d'un poème réalisera à quel point il est puissant."

Cependant, Barnett souligne les graves préoccupations qui ont surgi. "Je pense que l'établissement de la sécurité de l'information doit prendre un peu de temps pour examiner les implications - premièrement, il était assez facile de comprendre quand nous étions dupés par des escroqueries 419, des SMS de paiement de livraison ou des compromis de messagerie professionnelle, car ils tous semblaient faux aux humains », dit-il.

"L'intelligence synthétique pourrait-elle nous tromper ? Nous devons également faire très attention aux risques de protection des données, tels que la destination des données, et qui est le responsable du traitement et le sous-traitant. Les humains sont naturellement curieux, donc si nous commençons à parler aux ordinateurs comme s'ils 're humain, nous sommes très susceptibles de partager des informations que nous ne devrions probablement pas. Enfin, cela pourrait-il être un moyen de remédier à la pénurie de compétences en informatique ? Si OpenAI peut même écrire du code dans un langage oublié depuis longtemps, ce sera probablement de grande aide."

Pour Ronnie Tokazowski, conseiller principal en matière de menaces chez Cofense, la possibilité d'être créatif avec la plate-forme devait être appréciée, car "créer des paroles de rap générées par l'IA sur la paix mondiale et les divulgations d'OVNIS est amusant et effronté, mais il est possible de tromper l'IA en donnant l'information que vous cherchez".

S'assurer qu'il existe des protections est essentiel pour toute création d'application, et la sécurité dès la conception pour l'IA par rapport à un simple wrapper de sécurité post-construction sera toujours l'option préférée. C'est clairement l'objectif des développeurs, car "l'intention de l'IA est bonne et ne veut pas créer de simulations de phishing", mais demander de plusieurs manières (comme supprimer le mot phishing) ne génère toujours pas de réponse positive. Cependant, être créatif a donné des résultats.

"ChatGPT renvoie même une éducation sur la façon de rester protégé et de vérifier avant d'utiliser une carte-cadeau comme mode de paiement", dit-il.

Tokazowski conclut que "tout se résume à l'intention et à la façon dont elle est utilisée, car tout peut être utilisé à des fins malveillantes.

"Pour partager quelques pensées heureuses dans un e-mail sur les impacts négatifs de l'IA, je vais simplement demander à l'IA de m'aider à fermer cet e-mail", dit-il.

Et avec le point de vue de ChatGPT : "Je dois personnellement être d'accord avec son sentiment. Émotionnellement et en tant qu'humain, franchement, je n'ai aucune idée de ce que je ressens en étant d'accord avec un robot."

Les réponses qui ont été fournies sont bonnes, mais génériques et avec peu de la complexité et des nuances que l'on attendrait d'un écrivain humain. C'est un défi clé - c'est un outil contondant pour les défenseurs, mais pour les attaquants, c'est souvent tout ce dont ils ont besoin. L'automatisation à grande échelle peut les aider, et une simple rédaction de style entreprise peut facilement les aider à tenter de produire du contenu qui cherche à imiter les e-mails de réinitialisation de mot de passe génériques et ennuyeux que nous recevons tous.

En fin de compte, l'IA sera utilisée comme une arme par les acteurs malveillants et les cybercriminels, et les organisations doivent savoir comment s'en défendre, ainsi que tirer parti des avantages potentiels, qu'il s'agisse d'IA ou de ML intégrés à des produits commerciaux, ou d'utilisation de la puissance de des outils comme ChatGPT dans la formation des utilisateurs, la sécurisation du code ou une meilleure compréhension de la menace.

Mais lorsque j'ai demandé à l'outil comment les entreprises peuvent se défendre contre l'IA, j'ai reçu des réponses généralement génériques (mettant en évidence son utilisation en tant que moteur de recherche limité), il a fait un point clé : "Utilisez l'IA de manière responsable". C'est le plus gros plat à emporter dont nous devons tous nous souvenir.