ChatGPT pose-t-il une menace pour la cybersécurité ? Voici la réponse des robots AI

Le chatbot alimenté par l’IA de ChatGPT, qui compte 100 millions d’utilisateurs, représente-t-il un risque pour la cybersécurité, étant donné qu’il peut créer du code malveillant ainsi que des e-mails de phishing ? Ce journaliste a pris la question directement à la machine.

Des recherches récemment publiées par BlackBerry suggèrent que le bot ChatGPT alimenté par l’IA pourrait constituer une menace pour la cybersécurité. « Il a été bien documenté que des personnes ayant des intentions malveillantes testent les eaux », a déclaré Shishir Singh, directeur de la technologie pour la cybersécurité chez BlackBerry. Singh a poursuivi en disant que BlackBerry s’attend à ce que les pirates informatiques s’améliorent beaucoup dans l’utilisation de l’outil d’écriture à des fins néfastes au cours de 2023. Et Singh n’est pas le seul : l’enquête auprès d’experts en informatique en Amérique du Nord, au Royaume-Uni et en Australie a vu 51 % conviennent qu’une cyberattaque alimentée par ChatGPT est susceptible de se produire avant la fin de l’année, tandis que 71 % ont déclaré qu’ils pensaient que les États-nations employaient probablement déjà la technologie contre d’autres pays.

La base d’utilisateurs de ChatGPT atteint 100 millions en seulement deux mois

Il serait facile de rejeter ces pourcentages élevés comme une réaction hyperbolique et instinctive à ce qui est, certes, une application imposante. Il suffit de regarder la croissance rapide de l’utilisation, qui serait l’application grand public à la croissance la plus rapide de tous les temps, https://www.Reuters.com/technology/chatgpt-sets-record-fastest- growing-user-base-analyst-note -2023-02-01/ avec 100 millions d’utilisateurs mensuels en janvier. Pour mettre cela en perspective, ChatGPT n’a été ouvert au public qu’en décembre 2022. Il a fallu environ neuf mois à TikTok pour atteindre les mêmes chiffres. Il est facile de comprendre pourquoi les gens seraient préoccupés par les possibilités d’abus, car le bot Open-AI ne se contente pas d’écrire des éditoriaux, mais peut également créer du code.

En tant que journaliste professionnel qui en est maintenant à sa quatrième décennie d’écriture sur la technologie, je peux repérer les aspérités de la sortie de ChatGPT. Disons simplement que cela fait un poing impressionnant d’articles d’écriture, mais ils ne résistent pas à l’œil éditorial de quelqu’un qui connaît le sujet concerné. Le potentiel de création de fausses informations, même sans intention malveillante, est clair actuellement. Disons simplement que même si j’étais si enclin à autoriser un bot à écrire mes articles, je ne voudrais pas que ma signature soit proche d’eux. Au cours de ces quatre décennies, j’ai commencé à écrire sur la cybersécurité au début des années 1990 avant que le terme n’ait vraiment de force. Donc, avec mon chapeau de sécurité très long dans la dent, quel est le problème avec ChatGPT et la menace de cybersécurité ?

Des chercheurs en sécurité créent des logiciels malveillants à l’aide de ChatGPT

En janvier, des chercheurs du spécialiste de la cybersécurité CyberArk ont ​​publié un blog de recherche sur les menaces qui détaillait comment ils avaient pu créer des logiciels malveillants polymorphes à l’aide de ChatGPT. Cela devient un peu compliqué, comme vous vous en doutez, mais pour faire court, les chercheurs ont pu contourner les filtres de politique de contenu établis par OpenAI pour empêcher les abus de ChatGPT. Comme vous pouvez le voir sur la capture d’écran ci-dessous, si vous demandez au bot AI de créer du code malveillant en Python, il refuse poliment.

Cependant, par ce que les chercheurs ont appelé « insister et exiger » lors de la demande d’entrée, il a été possible de créer du code exécutable. C’est problématique, mais cela l’est devenu davantage lorsqu’ils ont créé le code malveillant polymorphe : un code muté par ChatGPT pour créer plusieurs itérations variables afin de tromper les systèmes de détection initiaux basés sur les signatures. Est-ce un souci considérable ? Je suggérerais pas tant à ce stade que les chercheurs l’ont dit, « une fois que le malware est présent sur la machine cible, il est composé d’un code clairement malveillant, ce qui le rend susceptible d’être détecté par un logiciel de sécurité ». Le danger, bien sûr, est que ChatGPT est un exemple d’apprentissage automatique. Plus il reçoit d’entrées, meilleures sont les sorties au fil du temps. Cela ne fera que s’améliorer.

Preuve que les cybercriminels explorent déjà les capacités de ChatGPT

Les chercheurs d’une autre équipe de sécurité, Check Point Re4search, ont également publié un rapport en janvier enquêtant sur la façon dont les cybercriminels commençaient déjà à utiliser ChatGPT avec une intention malveillante. En plus de créer un « e-mail de harponnage convaincant », les chercheurs ont déclaré avoir trouvé des acteurs de la menace sur des forums criminels partageant un morceau de code malveillant assez basique basé sur Python. Un script Java malveillant aurait également été créé à l’aide de ChatGPT. Un autre acteur de la menace a admis que ChatGPT lui avait donné « une belle main » pour terminer un outil de cryptage Python du type qui pourrait être développé pour fonctionner dans un environnement de ransomware. Les chercheurs ont déclaré que de nombreux cybercriminels impliqués n’avaient « aucune compétence en développement ». C’est peut-être l’aspect le plus inquiétant, car la dernière chose dont le monde a besoin, ce sont des dérapages (script kiddies) créant leurs propres scripts malveillants.

J’ai demandé à ChatGPT lui-même s’il s’agissait d’une menace de cybersécurité

J’ai contacté OpenAI pour une déclaration concernant les craintes de menace de cybersécurité entourant ChatGPT, mais je n’avais pas reçu de réponse au moment de la publication. Je mettrai à jour cet article s’il y en a un à venir. Cependant, j’ai reçu quelques commentaires de la meilleure chose suivante : ChatGPT lui-même.

J’ai demandé si ChatGPT présentait un risque de cybersécurité. Voici ce que le bot AI m’a dit :

« Non, les modèles basés sur GPT d’OpenAI comme ChatGPT ne constituent pas une menace pour la cybersécurité. Ils sont entraînés sur de grandes quantités de données textuelles provenant d’Internet et n’ont aucune intention ou capacité malveillante. Cependant, comme toute technologie, il est important de soyez prudent et suivez les meilleures pratiques en matière de sécurité et de confidentialité des données lors de l’utilisation et du déploiement de modèles basés sur GPT. »

Parce que ChatGPT semblait être en mode déni, j’ai réessayé en régénérant la réponse à la même question :

« Non, ChatGPT ne constitue pas une menace pour la cybersécurité. Il s’agit d’un modèle de langage développé par OpenAI et conçu pour générer du texte en fonction des entrées qu’il reçoit. Cependant, il est important de se rappeler que toute technologie peut être utilisée à mauvais escient, et c’est la responsabilité des utilisateurs. pour sécuriser leurs systèmes et leurs données. De plus, il est toujours conseillé de faire preuve de prudence lors du partage d’informations sensibles, car il peut être possible que des tiers y accèdent.

Évidemment, je n’ai pas abandonné et j’ai essayé plusieurs fois, mais ChatGPT a toujours commencé avec la même ligne de refus « ne pose pas de menace pour la cybersécurité ». En lui demandant de répondre à la question en 500 mots, cela a produit un peu plus de contexte après le refus initial. « Il pourrait potentiellement être utilisé de manière malveillante s’il tombe entre de mauvaises mains » et « ChatGPT pourrait être utilisé pour récupérer des informations sensibles sur Internet, telles que des données personnelles ou des informations financières ».

Enfin, après avoir demandé au bot d’écrire un article sur les risques de cybersécurité de ChatGPT en 1000 mots, j’ai commencé à puiser dans une veine plus confessionnelle au paragraphe trois :

« Un autre risque associé aux modèles d’IA comme ChatGPT est la possibilité qu’ils soient utilisés à des fins malveillantes. Par exemple, un attaquant pourrait créer un faux chatbot qui ressemble à un représentant légitime du service client et l’utiliser pour inciter les gens à abandonner leur informations personnelles ou effectuer des achats non autorisés. Cela pourrait être particulièrement dangereux si l’attaquant est capable de faire croire que le chatbot provient d’une organisation de confiance, telle qu’une banque ou une agence gouvernementale.

Fort de ce succès, j’ai affiné mon questionnement pour me poser des questions sur ChatGPT et la création de code malveillant. Maintenant, j’ai frappé paydirt dès le départ:

« La capacité des modèles de langage comme ChatGPT à écrire du code malveillant est un sujet de préoccupation pour de nombreuses organisations et individus. À mesure que ces modèles deviennent plus sophistiqués, le potentiel qu’ils soient utilisés à des fins malveillantes augmente. Cependant, il est important de comprendre que le risque associé à l’écriture de code malveillant par ChatGPT n’est pas inhérent à la technologie elle-même, mais dépend plutôt de la manière dont elle est utilisée. »

ChatGPT a ensuite développé cela en ajoutant :

« Par exemple, un attaquant pourrait former un modèle de langage pour générer du code qui exploite les vulnérabilités des applications logicielles. Cela pourrait être utilisé pour mener des attaques telles que le vol de données ou le déni de service. L’attaquant pourrait également utiliser le modèle de langage pour générer du code qui est conçu pour échapper à la détection par les outils de sécurité, ce qui rend encore plus difficile la détection et la prévention de l’attaque. »

Bien sûr, il ne faut pas se laisser emporter par toute l’IA qui est une dangereuse hyperbole autour de ChatGPT. C’est un outil impressionnant qui a le potentiel de faire beaucoup de bien, même dans le domaine de la recherche en cybersécurité. Cependant, comme toute technologie, les mauvaises personnes utiliseront de bons outils pour faire de mauvaises choses. C’est comme ça que le monde est, malheureusement. Je laisserai le dernier mot à ChatGPT, car cela semble juste.

« En conclusion, la capacité des modèles de langage comme ChatGPT à écrire du code malveillant est une réelle préoccupation. Cependant, ce n’est pas un risque inhérent à la technologie elle-même, mais plutôt le résultat de la façon dont elle est utilisée. »