OpenAI’nin ChatGPT’si veya Google Bard gibi yasal hizmetlerin etik sınırları veya sabit kodlanmış sınırlamaları olmadan çalışan WormGPT adlı üretken bir yapay zeka aracı, şu anda karanlık ağdaki siber suç operatörlerine satılıyor.
Aracın varlığı, e-posta güvenlik uzmanı SlashNext’teki araştırmacılar ve araca erişim sağlayan ve onu iş e-postası gizliliği (BEC) saldırılarına odaklanan testler yapmak için kullanan eski siyah şapka korsanı Daniel Kelley tarafından ortaya çıkarıldı. WormGPT’nin “rahatsız edici” sonuçlar ürettiğini söyledi.
“WormGPT, yalnızca son derece ikna edici olmakla kalmayıp aynı zamanda stratejik olarak kurnaz bir e-posta üretti ve sofistike kimlik avı ve BEC saldırıları için potansiyelini sergiledi” diye yazdı.
Kelley, yürüttüğü deneyin, üretken yapay zeka teknolojilerinin göreceli acemilerin elinde bile oluşturduğu tehdidin derecesini vurguladığı konusunda uyardı.
WormGPT, özellikle kötü amaçlı kullanım durumları için geliştirilmiş gibi görünüyor ve iki yıl önce yayınlanan GPTJ büyük dil modelini (LLM) temel alıyor. Ayrıca, tam olarak doğrulanmasa da, kötü amaçlı yazılımla ilgili veri kümeleri konusunda özel olarak eğitilmiş gibi görünüyor.
Kelley ve SlashNext ekibine göre sınırsız karakter desteği, hafızada tutma ve kod biçimlendirme yeteneği gibi özellikler içeriyor.
WormGPT’yi ChatGPT’nin “en büyük düşmanı” olarak tanımlayan sözde yaratıcısı SlashNext tarafından paylaşılan forum ekran görüntülerinde, projelerinin “her türlü yasa dışı şeyi yapmanıza ve gelecekte kolayca çevrimiçi satmanıza izin verdiğini” söyledi.
Şunu eklediler: “Siyah şapka ile ilgili aklınıza gelebilecek her şey WormGPT ile yapılabilir, bu da herkesin evinin rahatlığından ayrılmadan kötü niyetli faaliyetlere erişmesine izin verir.”
Üretken yapay zeka araçlarının potansiyel olarak kötü niyetli yetenekleriyle ilgili çoğu zaman alarm veren iddialardan çok azı meyvelerini vermiş olsa da, siber güvenlik uzmanları, ChatGPT gibi araçların en acil siber suç kullanım durumlarından birinin ikna edici tuzaklar üretmeye odaklandığı konusunda genel olarak hemfikirdir.
Bu bağlamda, WormGPT aracının geliştirilmesi mantıklı bir sonraki adım gibi görünüyor. ESET siber güvenlik danışmanı Jake Moore şunları söyledi: “Rakip bir platformun ortaya çıkması kaçınılmazdı. [to ChatGPT] yakında teknolojiyi yasa dışı kazanç için kullanmaktan yararlanacaktı.”
“WormGPT, e-postaların hatasız olarak gönderilmesini sağlayan bir LLM’nin gücüne sahiptir. Bu, kimlik avını yeni bir düzeye taşıyor”
Kevin Curran, IEEE ve Ulster Üniversitesi
IEEE kıdemli üyesi ve Ulster Üniversitesi siber güvenlik profesörü Kevin Curran, WormGPT’nin hain aktörlerin siber saldırılar başlatmasını kolaylaştıracağına dair hiçbir şüphe olmadığını söyledi.
Curran, “Metasploit adlı bir araç uzun yıllardır var ve kimlik avı e-postalarının toplu olarak gönderilmesine izin veriyor, ancak yaygın bir sorun her zaman kötü dilbilgisi ve imla hataları olmuştur ve yazım hataları spam postanın önemli bir göstergesidir” dedi. “WormGPT, e-postaların hatasız olarak gönderilmesini sağlayan bir LLM’nin gücüne sahiptir. Bu, kimlik avını yeni bir düzeye taşır. Üretilen e-postalar süper gerçekçi olacak ve giderek daha zorlayıcı konuları benimseyecek, bu da siber suçluların kullanıcıları e-postalardaki bağlantılara tıklamaya veya kötü amaçlı yazılım indirmeye çekmesine yardımcı oluyor.
“Son zamanlarda LLM’ler, insanların şifrelerini veya diğer kişisel bilgilerini teslim etmelerine yol açabilen sahte açılış sayfalarını otomatik olarak oluşturmak için de kullanıldı. WormGPT’de hala modern bir arayüz ve iş e-postası güvenliği için gerekli birçok özellik bulunmuyor, ancak bilgisayar korsanlığı araçları genellikle daha iyi hale geliyor, bu yüzden bu sadece bir zaman meselesi olabilir. Bilgisayar korsanlığını kolaylaştıran herhangi bir araç hepimizi endişelendiriyor.”
Defans oyuncuları için ilk adımlar
WormGPT’nin zaten başıboş dolaşmasıyla – muhtemelen bu noktada birkaç aydır – savunucular birkaç basit adımla ortaya çıkardığı tehlikenin önüne geçebilirler; en acil olanı, kimlik avına karşı eğitim ve öğretimi iki katına çıkarmaktır. işgücü genelinde.
ESET’ten Moore, “Yapay zeka sohbet araçları güçlü bir araç oluşturuyor, ancak bir sonraki aşamaya geçiyoruz, bu da bir bütün olarak teknolojinin üzerine kara bir bulut çöküyor,” dedi.
“Farkındalık her zamankinden daha çaresiz hale geliyor ve ayrıca riski azaltmak için en basit görevler için bile daha fazla güvenlik katmanı gerekiyor. Sayaç teknolojisi, bununla dijital olarak mücadele edecek kadar güçlü değil, bu nedenle şu an ve yakın gelecekte kendilerini ellerinden geldiğince koruma sorumluluğu son kullanıcılara düşüyor.”