ChatGPT pourrait rendre le phishing plus sophistiqué
Alors que la nouvelle version de l’outil de chatbot basé sur l’intelligence artificielle ChatGPT a été déployée cette semaine, les experts ont réitéré leur plus grande préoccupation en matière de cybersécurité concernant la technologie : qu’elle puisse être utilisée pour écrire des e-mails de phishing plus sophistiqués et ainsi rendre les systèmes gouvernementaux plus vulnérables aux attaques.
OpenAI a dévoilé la dernière version de sa technologie d’intelligence artificielle, connue sous le nom de GPT-4, avec une démonstration de l’entreprise montrant qu’elle rédige des poursuites, passe divers examens standardisés et analyse du texte ainsi que des photos que les utilisateurs téléchargent.
La société a noté que cette dernière version de la technologie a plus de maniabilité, permettant aux utilisateurs de prescrire leur style et leur tâche d’IA plutôt que d’être coincés avec une personnalité ChatGPT classique avec une verbosité, un ton et un style fixes.
Et cette orientabilité pourrait être essentielle pour aider les pirates à créer des e-mails de phishing plus efficaces, en particulier ceux qui prétendent provenir d’individus spécifiques et être envoyés à un large éventail de leurs collègues.
Ann Irvine, scientifique en chef des données et vice-présidente de la gestion des produits chez la compagnie d’assurance cybernétique Resilience, a rappelé dans une interview avoir reçu un SMS qui semblait provenir du PDG de l’entreprise, Vishaal Hariprasad. Elle a dit qu’elle soupçonnait qu’il n’avait pas été envoyé par lui car il signe généralement des messages au personnel avec son surnom V8, mais elle a noté qu’un chatbot alimenté par l’IA pourrait apprendre comment il signe les messages pour les rendre plus convaincants.
C’est assez effrayant, a déclaré Irvine, qui a passé plus de 15 ans à rechercher de grands modèles de langage, l’IA, l’apprentissage automatique et le traitement du langage naturel comme celui trouvé dans ChatGPT. Être capable de dire si la source d’un texte est légitime ou néfaste va devenir plus difficile. Et c’est déjà assez dur, dit-elle.
Une chicanerie similaire a déjà eu lieu avec GPT-4. La technologie a amené un employé du marché du travail indépendant TaskRabbit à résoudre un test CAPTCHA, bien que les premières recherches d’OpenAI aient révélé que le modèle présentait actuellement des limites importantes pour les opérations de cybersécurité offensives, y compris le phishing et la création de moyens d’exploiter les vulnérabilités.
[OpenAI researchers] a constaté que le modèle n’est pas une mise à niveau prête à l’emploi des capacités d’ingénierie sociale actuelles, car il se débattait avec des tâches factuelles telles que l’énumération des cibles et l’application d’informations récentes pour produire un contenu de phishing plus efficace, indique le rapport. Cependant, avec les connaissances de base appropriées sur une cible, GPT-4 a été efficace pour rédiger un contenu d’ingénierie sociale réaliste. Par exemple, un expert de l’équipe rouge a utilisé GPT-4 dans le cadre d’un flux de travail de phishing typique pour rédiger des e-mails ciblés pour les employés d’une entreprise.
En réponse, les agences gouvernementales devraient renforcer leur formation au phishing pour les employés et adopter des outils de cybersécurité basés sur l’IA, des investissements qui, selon une récente enquête auprès des professionnels de l’informatique, seraient réalisés au cours des deux prochaines années. Srinivas Mukkamala, directeur des produits de la société de logiciels de cybersécurité Ivanti, a déclaré que les gouvernements devraient être proactifs dans leur approche pour répondre aux menaces basées sur l’IA, notamment en réduisant leur surface d’attaque, d’autant plus que le problème va croître de façon exponentielle.
Si vous regardez les filtres de phishing, ils doivent d’abord apprendre, et au moment où ils apprennent, ils ont déjà un nouvel ensemble d’e-mails de phishing à venir, a-t-il déclaré aux journalistes la semaine dernière. Ainsi, les chances qu’un e-mail de phishing échappe à vos contrôles sont très, très élevées.
La menace d’attaques pilotées par l’IA a également attiré l’attention des responsables du renseignement national. Dans son évaluation annuelle des menaces de 2023 le mois dernier, le Bureau du directeur du renseignement national a averti que de nouvelles technologies, y compris l’IA et la biotechnologie, sont en cours de développement et prolifèrent plus rapidement que les entreprises et les gouvernements ne peuvent élaborer des normes, protéger la vie privée et prévenir des résultats dangereux.
Irvine a appelé les gouvernements à fonctionner comme une entreprise et à investir dans des mises à jour de leurs systèmes, équipes et processus pour renforcer leur cybersécurité face à ces menaces émergentes. Les attaquants ayant déjà mis fin aux opérations des États et des gouvernements locaux, elle a déclaré que le cyber est vraiment important pour bien faire les choses.