Alla conferenza sulla sicurezza della RSA a San Francisco questa settimana, c’era una sensazione di inevitabilità nell’aria. Ai discorsi e ai panel nel vasto centro congressi Moscone, in ogni stand dei venditori nell’area espositiva e nelle conversazioni casuali nelle sale, sai solo che qualcuno tirerà fuori l’IA generativa e il suo potenziale impatto sulla sicurezza digitale e l’hacking dannoso . Anche il direttore della sicurezza informatica della NSA, Rob Joyce, lo ha sentito.
“Non puoi andare in giro per RSA senza parlare di AI e malware”, ha detto mercoledì pomeriggio durante la sua ormai annuale presentazione “State of the Hack”. “Penso che tutti abbiamo visto l’esplosione. Non dirò che è ancora stato consegnato, ma questa è davvero una tecnologia rivoluzionaria”.
Negli ultimi mesi, i chatbot alimentati da modelli linguistici di grandi dimensioni, come ChatGPT di OpenAI, hanno reso anni di sviluppo e ricerca sull’apprendimento automatico più concreti e accessibili a persone di tutto il mondo. Ma ci sono domande pratiche su come questi nuovi strumenti saranno manipolati e abusati da malintenzionati per sviluppare e diffondere malware, alimentare la creazione di disinformazione e contenuti non autentici ed espandere le capacità degli aggressori di automatizzare i loro attacchi. Allo stesso tempo, la comunità della sicurezza è desiderosa di sfruttare l’IA generativa per difendere i sistemi e ottenere un vantaggio protettivo. In questi primi giorni, tuttavia, è difficile analizzare esattamente cosa accadrà dopo.
Joyce ha affermato che la National Security Agency si aspetta che l’IA generativa alimenti truffe già efficaci come il phishing. Tali attacchi si basano su contenuti convincenti e convincenti per indurre le vittime ad aiutare inconsapevolmente gli aggressori, quindi l’IA generativa ha ovvi usi per creare rapidamente comunicazioni e materiali su misura.
“Quell’hacker di origine russa che non parla bene l’inglese non creerà più un’e-mail schifosa ai tuoi dipendenti”, ha detto Joyce. “Sarà una lingua madre inglese, avrà un senso, supererà il test olfattivo… Quindi proprio oggi c’è qui, e stiamo vedendo avversari, sia stati-nazione che criminali, che iniziano a sperimentare con il Generazione di tipo ChatGPT per offrire loro opportunità di lingua inglese.
Nel frattempo, sebbene i chatbot di intelligenza artificiale potrebbero non essere in grado di sviluppare da zero un nuovo malware perfettamente armato, Joyce ha notato che gli aggressori possono utilizzare le capacità di codifica delle piattaforme per apportare modifiche minori che potrebbero avere un grande effetto. L’idea sarebbe quella di modificare il malware esistente con l’intelligenza artificiale generativa per modificarne le caratteristiche e il comportamento in modo tale che strumenti di scansione come il software antivirus potrebbero non riconoscere e contrassegnare la nuova iterazione.
“Aiuterà a riscrivere il codice e renderlo in modi che cambieranno la firma e gli attributi di esso”, ha detto Joyce. “Quello [is] sarà una sfida per noi a breve termine.
In termini di difesa, Joyce sembrava fiduciosa sul potenziale dell’IA generativa per aiutare nell’analisi e nell’automazione dei big data. Ha citato tre aree in cui la tecnologia sta “mostrando una vera promessa” come “accelerante per la difesa”: scansione dei registri digitali, ricerca di schemi nello sfruttamento delle vulnerabilità e aiuto alle organizzazioni a dare priorità ai problemi di sicurezza. Ha avvertito, tuttavia, che prima che i difensori e le comunità più in generale arrivino a dipendere da questi strumenti nella vita quotidiana, devono prima studiare come i sistemi di intelligenza artificiale generativa possono essere manipolati e sfruttati.
Principalmente, Joyce ha sottolineato la natura oscura e imprevedibile del momento attuale per l’intelligenza artificiale e la sicurezza, avvertendo la comunità della sicurezza di “allacciarsi le cinture” per ciò che probabilmente deve ancora venire.
“Non mi aspetto alcuna capacità tecnica magica generata dall’intelligenza artificiale che sfrutterà tutte le cose”, ha affermato. Ma “l’anno prossimo, se parleremo di un anno simile in rassegna, penso che avremo un sacco di esempi di dove è stato utilizzato come arma, dove è stato usato e dove ha avuto successo”.
