O hype em torno do ChatGPT permanece intenso. A ferramenta vem se popularizando por respostas interessantes a problemas mundanos, que vão deste a melhor a escalação do seu time do coração, até qual seria a taxa de juros real neutra no Brasil. A Goldman Sachs, em nota lançada para investidores no final de março/23, afirma que a Inteligência Artificial (IA) pode aumentar o PIB global em 7%.
A instituição financeira acredita que a tecnologia pode aumentar a automação de tarefas, a economia com mão de obra e a produtividade do trabalho. No entanto, a ferramenta, de acordo com Thiago Marques, especialista em cibersegurança e sócio da Add Value Security, é um grande desafio para a área de segurança das empresas.
“Ferramentas NPL (Natural Language Processing) como o caso do chatGPT, aprendem com o passado para criar conteúdo, e isso vale também para campanhas de phishing. Com a versão 4, a ferramenta consegue entregar resultados ainda mais humanos e processar maior quantidade de dados, incluindo links. Analisando campanhas que obtiveram êxito e dados existentes, ciar campanhas de phishing eficientes possam ser realizados com pouco conhecimento técnico. Além disso, ainda existem caminhos no ChatGPT ou mesmo em outras ferramentas de NPL como GitHub Copilot ajudem a um potencial criminoso com pouco conhecimento técnico consiga produzir códigos maliciosos para criação de ransomware, por exemplo”, avalia Marques.
Engenharia Social. Este problema existe pela volumosa ingestão de dados corporativos confidenciais na ferramenta que coloca as organizações em risco. A Europol, agência da União Europeia para a cooperação policial, diz que o chatbot de inteligência artificial pode ser utilizado em fraudes e engenharia social, desinformação e cibercrime. As percepções dos agentes foram compiladas no primeiro relatório Tech Watch Flash da Europol, publicado em março/23, intitulado “ChatGPT – o impacto de modelos de linguagem ampla na aplicação da lei.
Criação de malwares. Somente o fato de questionar sobre atividades ilegais ou ataques hacker nas consultas viola as políticas de uso do chat. No entanto, o ChatGPT é “criativo”. Perguntar indiretamente fará com que o chat nos forneça as respostas passo a passo detalhadas. E com um pouco de conhecimento técnico e inputs corretos, existem questões que podem instruir sobre como automatizar um ataque de rede usando ferramentas conhecidas e comerciais processadas e códigos funcionais serão obtidos. Basicamente, ele tem recursos para codificar e modificar exploits conhecidos, malware, LOLBIN (Living off the Land Binaries) – código que pode ser distribuído globalmente – e com isso, maiores possibilidades de desenvolver ataques Zero-Day apenas perguntando corretamente.
Combata fogo com fogo. A própria OpenAI (a empresa por trás do ChatGPT) possui ferramentas para detectar textos gerado por IA. Essas soluções podem ser integradas e automatizadas para ajudar a detectar conteúdo malicioso e o entendimento do contexto e do uso de metadados. Além disso, a detecção de phishing deve fazer parte da estratégia geral de rede e infraestrutura. Ela é ainda mais eficiente quando o reconhecimento e filtragem são assistidos por soluções com IA combinadas com detecção e prevenção. Muitas das principais empresas de segurança estão se movendo para incorporar esses tipos de ferramentas em suas ofertas.
“Vale lembrar que todas estas tecnologias são muito recentes e as aplicabilidades são imensas. Assim como cibercrime pode usar para o mau, ferramentas de defesa podem usufruir de APIs para se conectar ao chatGPT para gerar rapidamente respostas aos ataques mais sofisticados. Os benefícios são enormes para todos, basta saber a melhor forma de utilizar. Profissionais de cibersegurança não serão substituídos por AI ou NPL, mas estes precisarão aprender a utilizar da melhor forma as ferramentas para continuar a se defender das melhores formas possíveis.”, completa Marques.
