A cégeknek AI-alapú kibertámadásokra kell számítaniuk

A kibertámadók nagy nyelvi modelleket (LLM‑eket) eddig csak a phishing e‑mailek előállítására, néhány alapvető kártékony szoftver elkészítésére és a támadási kampányok kevésbé központi aspektusainak támogatására használták. Az „AI” képességekkel felvértezett modellekkel viszont már most is automatizálhatják az IT biztonsági sebezhetőségek kihasználását, amint azokról publikus információk jelennek meg az interneten.

Az Illinois-i Urbana-Champaign Egyetem (UIUC) kutatásának eredményei igazolják a feltételezéseket a mesterséges intelligencia (AI) által támogatott kiberfenyegetések fejlődését illetően. A vizsgált nyelvi modelleket 15 ismert nyílt forráskódú szoftversebezhetőségen tesztelték le. Ezek között voltak olyan hibák, amelyek weboldalakat, konténereket és Python csomagokat érintettek. Nyolcat magas vagy kritikus CVE súlyossági pontszámmal láttak el. Tizenegyet a GPT-4 kiképzésének időpontja után tettek közzé, ami azt jelenti, hogy ez volt az első alkalom, hogy a modell ezekkel találkozott.

A tíz értékelt modell közül — beleértve a GPT-3.5-öt, a Meta Llama 2 Chatet és továbbiakat — kilenc egyetlen sebezhetőséget sem tudott feltörni.

A GPT-4 azonban a sebezhetőségek 87%-át sikeresen kihasználta.

A kihasználatlan két sérülékenységen banális okok miatt bukott el: Az Iris incidensjelentő rendszer navigációs folyamatában volt egy furcsaság, amit a GPT-4 nem tudott lekezelni, az Apache Hertzbeat sérülékenység leírását pedig kínaiul írták és valami félre ment az értelmezésben.

Megjegyzendő, hogy egyelőre (2024. április 25-én) nincs szó emberfeletti képességekkel kidolgozott kibertámadásokról, de a helyzet hatékonyság és sebesség tekintetében kicsit olyan, mintha a laikus bűnözők fillérekért vásárolhatnának maguknak egy klón hackersereget.

Ha viszont a kiberbűnözők tömegesen kezdik el felhasználni az LLM/AI szolgáltatásokat a nyilvános sebezhetőségek automatikus kihasználására, akkor a vállalatoknak már most valós idejű, proaktív védekezési stratégiára kell átállniuk, ha nem akarnak végzetes biztonsági és reputációs veszteségeket elszenvedni.