Uzmanlar, GPT-40’tan Siber Güvenlik ‘Sihri’ Beklemeyin

OpenAI CEO’su Sam Altman bu ayın başlarında GPT-4o’yu piyasaya sürdü ve aracın yeni yeteneklerinin “bana sihir gibi geldiğini” söyledi.

Şirketin geliştirici deneyimi başkanı Romain Huet, ücretsiz, üretken yapay zeka aracının “ses, görüntü ve metin arasında gerçek zamanlı olarak akıl yürütebileceğini” söyledi. Şirketin Mart 2023’te piyasaya sürülen ve metin ve resim girişini kabul eden ancak yalnızca metin çıktısı veren önceki GTP-4 modeliyle karşılaştırıldığında, yeni modelin “çok daha doğal insan-bilgisayar etkileşimine doğru bir adım olduğunu” söyledi.

Siber güvenlik uzmanı Jeff Williams, yeni yeteneklerine rağmen modelin, genel bir yapay zeka aracının saldırganlara veya savunuculara nasıl yardımcı olacağını temelden değiştirmesini beklemeyin, dedi.

Contrast Security’nin CTO’su Williams, Information Security Media Group’a şöyle konuştu: “Halihazırda kusurlu saldırganlarımız ve savunucularımız var. Eksik olduğumuz şey, daha iyi kararlar vermek için teknolojimiz ve süreçlerimizde görünürlüktür.” “GPT-4o da tamamen aynı soruna sahip. Dolayısıyla var olmayan güvenlik açıklarını ve saldırıları halüsinasyona uğratacak, aynı zamanda gerçek olanları da kaygısızca görmezden gelecektir.”

Jüri bu tür halüsinasyonların kullanıcıların GPT-4o’ya olan güvenini zedeleyip zedeleyemeyeceği konusunda hâlâ kararsız (bkz.: Yapay Zeka Sohbet Robotlarından Aldığımız Yalanları Kabul Etmeli miyiz?).

“Beni yanlış anlamayın, GPT-4o’yu, sonuçlara yüksek derecede güvenmenize gerek olmayan görevler için seviyorum” dedi. “Fakat siber güvenlik daha iyisini gerektirir.”

GPT-4’ün ortaya çıkardığı siber güvenlik riskleri hakkında çeşitli makaleler yayınlayan makine öğrenimi araştırma bilimcisi Daniel Kang, saldırganların, GPT-4o’nun aynı anda birden fazla şeyi yapabilme yeteneği de dahil olmak üzere yeni yetenekleri sayesinde bazı küçük üretkenlik artışları elde edebileceklerini söyledi. Bu “çok modlu” yeteneklerin, ses ve videoyu birleştiren gerçekçi görünümlü derin sahtekarlıklar oluşturmak isteyen saldırganlar için bir nimet olabileceğini söyledi.

Sesleri klonlama yeteneği, GPT-4o’nun yeni özelliklerinden biridir, ancak diğer yapay zeka modelleri bu yeteneği zaten sunmuş olsa da uzmanlar, bunun potansiyel olarak başka birinin kimliğini taklit ederek dolandırıcılık yapmak için (örneğin bankaların kimlik kontrollerini atlatmak için) kullanılabileceğini söylüyor. Tedarik zinciri güvenliği şirketi Endor Labs’ın kurucu mühendisi George Apostolopoulos, bu tür yeteneklerin aynı zamanda yanlış bilgi geliştirmek ve gasp girişimi için de kullanılabileceğini söyledi (bkz: Sanal Kaçıranlarla Mücadelede En İyi Siber Gasp Savunmaları).

Yeni yapay zeka modelinin güvenliği açık bir soru olmaya devam ediyor. Önceki modellerle karşılaştırıldığında OpenAI, GPT-4o’ya topladığı veri miktarını en aza indirmek, bu verileri daha etkili bir şekilde anonimleştirmek, daha güçlü şifreleme protokolleri kullanmak ve topladığı verilerin nasıl elde edildiği konusunda daha şeffaf olmak da dahil olmak üzere çok sayıda güvenlik ve gizlilik koruması eklediğini söyledi. kullanılmış ve paylaşılmıştır.

Kang, kullanıcıların GPT-4o’yu eğitmek için hangi verilerin kullanıldığını hala bilmeyeceğini ve herhangi bir eğitim veri seti kullanılarak geliştirilen büyük bir dil modelini kullanmamayı tercih etmelerinin mümkün olmadığını söyledi. Ayrıca kullanıcıların modelin tam olarak nasıl çalıştığını veya bozulabileceğini bilmelerinin mümkün olmadığını söyledi. Araç ücretsiz olduğundan, kötü niyetli bilgisayar korsanlarının ve ulus devlet gruplarının onu manipüle etmenin veya yenmenin yollarını keşfetmesini bekleyebilirsiniz.

CISO’lar için GPT-4o, doğru politikaları, prosedürleri ve teknolojiyi kullanarak kuruluşlarını koruma ihtiyacını değiştirmez. Bedrock Security CEO’su Pranava Adduri, bunun, çalışanların iş için genel yapay zekaya erişmesine nasıl izin verildiğini veya izin verilip verilmeyeceğini, kullanımlarının yerleşik güvenlik politikalarına uygun olmasını sağlamayı ve üçüncü taraf riskini yönetmek için tedarikçilerle güçlü sözleşmeler kullanmayı içerdiğini söyledi.

Adduri, ISMG’ye şunları söyledi: “Bu, temel olarak bulut dünyasının, bulut altyapı sağlayıcısı ile o bulutta uygulamaları çalıştıran kullanıcı arasındaki paylaşılan sorumluluk modeliyle yaşadığı şeydir.” “Burada, LLM sağlayıcısı ile kuruluş ve onun kullanıcıları arasında, bu LLM yazılımının yeni uygulamalarından ve kullanımlarından yararlanan paylaşılan AI sorumluluk modeline sahibiz.”

Uzmanlar ayrıca herhangi bir şeyi güvende veya özel tutmak için halka açık hiçbir yapay zeka modeline asla güvenmemenizi tavsiye ediyor. Adduri, bunu yapabilmek için CISO’ların kritik, hassas veya düzenlemeye tabi verilerin korunması da dahil olmak üzere çok eski veri koruma ilkelerini uygulaması gerektiğini söyledi; nasıl aktığını ve nerede depolandığını bilmek; veri kaybını önleme politikaları ve önlemlerinin uygulanmasının yanı sıra. Bunun hem bir işletmenin başka birinin yapay zeka modeli veya LLM’si üzerinde geliştirebileceği ticari araçlar için hem de üretkenlik amacıyla GPT-4o gibi araçları kullanan tüm çalışanlar için geçerli olduğunu söyledi.