ChatGPT不是网络安全的末日

点击蓝字 关注我们            ///

@GoUpSec

虽然ChatGPT可以被对手用来大规模定制化生产钓鱼邮件和恶意软件，但生成式人工智能同样让防御者“如虎添翼”。

ChatGPT自去年11月下旬以来席卷全球，引发了新一轮网络安全军备竞赛，攻防双方都在紧锣密鼓、马不停蹄地探索下一个突破性AI/ML技术/应用。

在人工智能最大的垂直应用市场——网络安全，对ChatGPT导致网络威胁形势恶化和复杂化担忧正在蔓延，但是，Mimecast首席数据科学家洛佩兹认为，网络安全人士大可不必过于惊慌和悲观。

只是，这一次，赌注已经大大提高。

大规模定制化攻击

ChatGPT已经打开了潘多拉盒子，大大加速了社会工程技术的民主化。因为ChatGPT降低了低技能黑客使用复杂危险工具的门槛，同时提高了攻击者绕过安全检测措施并在混合攻击面上开展大规模攻击的能力。

大多数社会工程攻击活动都依赖一些包含常见关键字和文本字符串的通用模板，安全解决方案可以识别这些特征并阻止恶意（例如电子邮件）模版，导致攻击的成功率很低。

但是，借助类似ChatGPT的生成式人工智能技术，攻击者理论上可以利用系统的大型语言模型(LLM)偏离通用格式，自动大规模创建高度个性化的网络钓鱼或欺诈电子邮件，这些电子邮件针对单个目标量身定制，有着完美的语法和自然流畅的行文风格。这大大提升了网络钓鱼邮件的可信度，而检测和防止员工点击恶意链接变得更加困难。

但是，ChatGPT并不像一些人所说的那样意味着网络安全防御者的末日！相反，它是不断演变的攻击策略、技术和程序(TTP)的猫鼠游戏中的最新发展，可以分析、解决和缓解。

毕竟，这不是网络安全人士第一次看到生成式AI被恶意利用。ChatGPT与之前的技术的区别在于其使用简单和免费访问。随着OpenAI尝试转向需要用户身份验证和增强保护的基于付费订阅的商业模式，对ChatGPT攻击的关键措施将是：用魔法打败魔法。

用魔法打败魔法

安全运营团队必须学会利用自己的AI驱动的大型语言模型(LLM)来对抗ChatGPT社会工程攻击。

LLM将是企业防御ChatGPT攻击的第一道也是最后一道防线，能帮助人类分析师能够提高检测效率、简化工作流程并自动执行响应操作。例如，可以对集成在企业安全解决方案中的LLM进行编程，以检测由ChatGPT生成的高度复杂的社会工程模板。在LLM识别和分类可疑模式的几秒钟内，该解决方案将其标记为异常，通知人工分析师并建议缓解措施，然后在企业/行业安全生态系统中实时共享威胁情报。

近年来AI/ML在网络安全领域采用速度不断加快，在IBM的2022年“数据泄露成本”报告中，利用AI驱动的安全解决方案的公司平均将攻击时间缩短了28天，并将经济损失减少了超过300万美元。与此同时，在Mimecast的2022年“电子邮件安全状况”报告中，92%的受访者表示他们已经在其安全架构中利用人工智能或计划在不久的将来这样做。企业防御ChatGPT攻击的唯一出路就是更加坚定地致力于利用AI驱动的LLM。

应用ChatGPT等AI驱动的LLM还可以提高黑盒、灰盒和白盒渗透测试的效率，这些都需要大量时间和人力，而在普遍劳动力短缺的情况下，IT团队缺乏这些资源。面对当下一日千里的AI技术突变，LLM提供了一种有效的方法来简化渗透测试过程，自动识别最佳攻击向量和网络漏洞，而不依赖于随着威胁形势的发展而经常过时的旧利用模型。

例如，在模拟攻击环境中，“红队”LLM可以生成定制的电子邮件文本来测试企业的社会工程防御能力。如果该文本绕过检测并达到其预期目标，则可以“调转枪口”，用这些数据训练“蓝队”LLM识别现实环境中的类似恶意模式。这种模拟攻击训练可以帮助红队和蓝队深入了解使用生成AI对抗ChatGPT的复杂性，同时还能提供企业安全态势的准确评估，使分析师能够在对手利用漏洞之前消除漏洞差距。

人依然是安全的第一要素

重要的是要记住，仅投资最佳解决方案并不是保护企业免遭复杂社会工程攻击的灵丹妙药。在企业向混合云架构过渡的过程中，人为风险仍然是现代企业面临的最大安全风险。如今，超过95%的安全漏洞（其中大部分是社会工程攻击的结果）都涉及某种程度的人为错误。由于ChatGPT将大幅增加社会工程攻击的数量和速度，因此确保混合型员工无论在何处工作都保持良好安全意识并遵循安全规则依然是对抗不确定性技术风险的最佳投资和做法。

人工智能大规模社会工程攻击威胁的快速到来再次证明了将用户意识培训模块作为安全框架核心组件实施的重要性。数据显示，接受良好安全意识培训的员工识别和避免恶意链接的能力可提高五倍。然而，根据2022年Forrester的“安全意识和培训解决方案报告”，许多安全领导者并不懂得如何建立安全意识文化，过于依赖静态的、一刀切的员工培训，收效甚微。

将生成式AI与执行良好的用户意识培训相结合，企业可以创建一个强大高效的“智能安全文化”，用魔法打败魔法。

END

相关阅读