Intelligence artificielle ChatGPT : une menace imminente pour la cybersécurité ?

L’intelligence artificielle (IA) a le potentiel de révolutionner de nombreux aspects de notre vie, y compris notre approche de la cybersécurité. Cependant, elle présente également de nouveaux risques et défis qui doivent être gérés avec soin.

L’une des façons d’utiliser l’IA dans la cybersécurité consiste à développer des systèmes intelligents capables de détecter et de répondre aux cybermenaces.

C’est la réponse des chatbots de l’IA lorsque je lui ai demandé d’écrire sur l’IA et les cybermenaces. Je suis sûr que vous savez maintenant que je parle du garçon le plus populaire de la ville, ChatGPT.

En novembre 2022, OpenAI, une société de recherche et développement en IA, a introduit ChatGPT (Generative Pre-trained Transformer) basé sur une variante de son modèle InstructGPT, qui est formé sur un énorme pool de données pour répondre aux requêtes. Il interagit de manière conversationnelle une fois qu’il a reçu une invite détaillée, admet les erreurs et rejette même les demandes inappropriées. Bien qu’il ne soit actuellement disponible que pour les tests bêta, il est devenu extrêmement populaire auprès du public. OpenAI prévoit de lancer une version avancée, ChatGPT-4, en 2023.

ChatGPT est différent des autres modèles d’IA dans la mesure où il peut écrire des logiciels dans différentes langues, déboguer le code, expliquer un sujet complexe de plusieurs manières, préparer un entretien ou rédiger un essai. Semblable à ce que l’on peut faire via des recherches sur le Web pour apprendre ces sujets, ChatGPT facilite ces tâches, fournissant même le résultat final.

La vague d’outils et d’applications d’IA se développe depuis un certain temps. Avant ChatGPT, nous avons vu l’application Lensa AI et Dall-E 2 faire du bruit pour créer numériquement des images à partir de texte. Bien que ces applications aient montré des résultats exceptionnels qui pourraient être agréables à utiliser, la communauté de l’art numérique n’était pas très heureuse que leur travail, qui a été utilisé pour former ces modèles, soit maintenant utilisé contre eux car il soulevait des problèmes majeurs de confidentialité et d’éthique. Les artistes ont découvert que leur travail était utilisé pour former le modèle et qu’il était maintenant utilisé par les utilisateurs de l’application pour créer des images sans leur consentement.

Avantages et inconvénients

Comme toute nouvelle technologie, ChatGPT a ses propres avantages et défis et aura un impact significatif sur le marché de la cybersécurité.

L’IA est une technologie prometteuse pour aider à développer des produits de cybersécurité avancés. Beaucoup pensent qu’une utilisation plus large de l’IA et de l’apprentissage automatique est essentielle pour identifier plus rapidement les menaces potentielles. ChatGPT pourrait jouer un rôle crucial dans la détection et la réponse aux cyberattaques et l’amélioration de la communication au sein de l’organisation pendant ces périodes. Il pourrait également être utilisé pour les programmes de primes de bogues. Mais là où il y a la technologie, ce sont les cyber-risques, qu’il ne faut pas négliger.

Bon ou mauvais code

ChatGPT n’écrira pas de code malveillant si on lui demande d’en écrire un ; il dispose de garde-corps, tels que des protocoles de sécurité pour identifier les demandes inappropriées.

Mais ces derniers jours, les développeurs ont essayé différentes manières de contourner les protocoles et ont réussi à obtenir le résultat souhaité. Si une invite est suffisamment détaillée pour expliquer au bot les étapes d’écriture du logiciel malveillant au lieu d’une invite directe, il répondra à l’invite, créant ainsi un logiciel malveillant à la demande.

Étant donné qu’il existe déjà des groupes criminels proposant des logiciels malveillants en tant que service, avec l’aide d’un programme d’IA tel que ChatGPT, il pourrait bientôt devenir plus rapide et plus facile pour les attaquants de lancer des cyberattaques à l’aide de code généré par l’IA. ChatGPT a donné le pouvoir à des attaquants encore moins expérimentés d’écrire un code malveillant plus précis, ce qui auparavant ne pouvait être fait que par des experts.

E-mail professionnel compromis

ChatGPT est excellent pour répondre à toute requête de contenu, comme les e-mails et les essais. Ceci est particulièrement applicable lorsqu’il est associé à une méthode d’attaque appelée compromission de messagerie professionnelle, ou BEC.

Avec BEC, les attaquants utilisent un modèle pour générer un e-mail trompeur qui incite un destinataire à fournir à l’attaquant les informations ou l’actif qu’il souhaite.

Des outils de sécurité sont souvent utilisés pour détecter les attaques BEC, mais avec l’aide de ChatGPT, les attaquants pourraient potentiellement avoir un contenu unique pour chaque e-mail généré pour eux avec l’aide de l’IA, ce qui rend ces attaques plus difficiles à détecter.

De même, écrire des e-mails de phishing peut devenir plus facile, sans aucune des fautes de frappe ou des formats uniques qui sont aujourd’hui souvent essentiels pour différencier ces attaques des e-mails légitimes. La partie effrayante est qu’il est possible d’ajouter autant de variations à l’invite, telles que « donner l’impression que l’e-mail est urgent, » « e-mail avec une forte probabilité que les destinataires cliquent sur le lien« , « virement bancaire de demande d’e-mail d’ingénierie sociale, » etc.

Ci-dessous, j’ai tenté de voir comment ChatGPT répondrait à mon invite, et il a renvoyé des résultats étonnamment bons.

Où allons-nous à partir d’ici?

L’outil ChatGPT est transformationnel dans de nombreux scénarios de cybersécurité s’il est utilisé à bon escient.

D’après mon expérience de recherche avec l’outil et d’après ce que le public publie en ligne, ChatGPT s’avère précis avec la plupart des demandes détaillées, mais il n’est toujours pas aussi précis qu’un humain. Plus il y a d’invites utilisées, plus le modèle s’entraîne.

Il sera intéressant de voir quelles utilisations potentielles, positives et négatives, viennent avec ChatGPT. Une chose est sûre : l’industrie ne peut pas simplement attendre et regarder si cela crée un problème de sécurité. Les menaces de l’IA ne sont pas un nouveau problème, c’est juste que maintenant ChatGPT montre des exemples distincts qui semblent effrayants. Nous nous attendons à ce que les fournisseurs de sécurité soient plus proactifs pour mettre en œuvre des outils basés sur l’IA comportementale pour détecter ces attaques générées par l’IA.