Pojawiło się, że generatywne narzędzie sztucznej inteligencji o nazwie WormGPT, które działa bez granic etycznych lub zakodowanych na stałe ograniczeń legalnych usług, takich jak ChatGPT OpenAI czy Google Bard, jest obecnie sprzedawane operatorom cyberprzestępczym w ciemnej sieci.
Istnienie narzędzia zostało odkryte przez badaczy ze specjalisty ds. bezpieczeństwa poczty e-mail SlashNext i byłego hakera w czarnym kapeluszu, Daniela Kelleya, który uzyskał dostęp do narzędzia i wykorzystał je do przeprowadzenia testów skupiających się na atakach na biznesową pocztę e-mail (BEC). Powiedział, że WormGPT przyniósł „niepokojące” wyniki.
„WormGPT stworzył wiadomość e-mail, która była nie tylko niezwykle przekonująca, ale także strategicznie przebiegła, pokazując potencjał wyrafinowanego phishingu i ataków BEC” — napisał.
Kelley ostrzegł, że eksperyment, który przeprowadził, uwypuklił stopień zagrożenia stwarzanego przez technologie generatywnej sztucznej inteligencji, nawet w rękach względnie nowicjuszy.
Wygląda na to, że WormGPT został opracowany specjalnie do złośliwych przypadków użycia i jest oparty na dużym modelu językowym (LLM) GPTJ wydanym dwa lata temu. Wydaje się również, że został specjalnie przeszkolony w zakresie zbiorów danych związanych ze złośliwym oprogramowaniem, chociaż nie jest to w pełni potwierdzone.
Według Kelleya i zespołu SlashNext zawiera takie funkcje, jak nieograniczona obsługa znaków, przechowywanie pamięci i możliwość formatowania kodu.
Na zrzutach ekranu z forum udostępnionych przez SlashNext, domniemany twórca WormGPT – który opisał go jako „największego wroga” ChatGPT – powiedział, że jego projekt „pozwala robić wszelkiego rodzaju nielegalne rzeczy i łatwo sprzedawać je online w przyszłości”.
Dodali: „Wszystko, co możesz wymyślić, związane z czarnym kapeluszem, można zrobić za pomocą WormGPT, umożliwiając każdemu dostęp do złośliwej aktywności bez wychodzenia z domu”.
Podczas gdy kilka z często alarmujących twierdzeń o potencjalnie złośliwych możliwościach generatywnych narzędzi sztucznej inteligencji sprawdziło się, eksperci ds. bezpieczeństwa cybernetycznego ogólnie zgodzili się, że jeden z najbardziej bezpośrednich przypadków użycia narzędzi takich jak ChatGPT przez cyberprzestępców koncentruje się na generowaniu przekonujących przynęt.
Pod tym względem rozwój narzędzia WormGPT wydaje się logicznym następnym krokiem. Jake Moore, doradca firmy ESET ds. bezpieczeństwa cybernetycznego, powiedział: „To było nieuniknione, że konkurencyjna platforma [to ChatGPT] wkrótce wykorzystałby tę technologię do nielegalnego zysku”.
„WormGPT ma moc LLM, umożliwiając wysyłanie wiadomości e-mail bez błędów. To przenosi phishing na nowy poziom”
Kevin Curran, IEEE i Ulster University
Starszy członek IEEE i profesor bezpieczeństwa cybernetycznego Uniwersytetu Ulster, Kevin Curran, powiedział, że nie ma wątpliwości, że WormGPT ułatwi niecnym podmiotom przeprowadzanie cyberataków.
„Narzędzie o nazwie Metasploit istnieje od wielu lat i umożliwia masowe wysyłanie wiadomości phishingowych, ale powszechnym problemem zawsze były błędy gramatyczne i ortograficzne, a literówki są kluczowym wskaźnikiem spamu” — powiedział Curran. „WormGPT ma moc LLM, umożliwiając wysyłanie wiadomości e-mail bez błędów. To przenosi phishing na nowy poziom. Tworzone e-maile będą bardzo realistyczne i będą zawierać coraz bardziej atrakcyjne tematy, co pomaga cyberprzestępcom nakłaniać użytkowników do klikania odsyłaczy w wiadomościach e-mail lub pobierania złośliwego oprogramowania.
„Ostatnio LLM były również wykorzystywane do automatycznego generowania fałszywych stron docelowych, co może prowadzić do przekazywania przez ludzi swoich haseł lub innych danych osobowych. WormGPT wciąż nie ma nowoczesnego interfejsu i wielu funkcji niezbędnych do włamań do biznesowej poczty e-mail, ale narzędzia hakerskie generalnie stają się coraz lepsze, więc może to być tylko kwestia czasu. Każde narzędzie, które ułatwia hakowanie, martwi nas wszystkich”.
Pierwsze kroki obrońców
Ponieważ WormGPT jest już na wolności – prawdopodobnie przez kilka miesięcy w tym momencie – obrońcy mogą stawić czoła niebezpieczeństwu, jakie stwarza, wykonując kilka prostych kroków, z których najbardziej natychmiast przydatne jest podwojenie edukacji i szkoleń w zakresie zwalczania phishingu w całej sile roboczej.
„Narzędzia do czatowania AI tworzą potężne narzędzie, ale wkraczamy w kolejną fazę, która rzuca ciemną chmurę na całą technologię” — powiedział Moore z firmy ESET.
„Świadomość staje się bardziej desperacka niż kiedykolwiek, a do nawet najprostszych zadań potrzebnych jest jeszcze więcej warstw zabezpieczeń, aby ograniczyć ryzyko. Technologia liczników wciąż nie jest wystarczająco potężna, aby poradzić sobie z tym problemem cyfrowo, więc to na użytkownikach końcowych spoczywa obowiązek ochrony siebie tam, gdzie to możliwe, teraz i w najbliższej przyszłości”.
