Son yıllarda, üretken yapay zekanın (AI) kullanımında olağanüstü bir genişleme oldu. ChatGPT’nin Kasım 2022’de piyasaya sürülmesinden bu yana, çeşitli işlevlere hizmet eden birkaç yapay zeka (AI) ürünü geliştirildi ve iyileştirildi. Öte yandan, özellikle siyah şapka takanlar için oluşturulmuş yepyeni bir yapay zekanın piyasaya sürüldüğü bir noktaya ulaştık. Siber suçlular yakın zamanda WormGPT olarak bilinen bir program yayınladılar. Bu araç siyah şapka türündendir ve çeşitli sosyal mühendislik ve İş E-postası Ele Geçirme (BEC) saldırılarını gerçekleştirme yeteneğine sahiptir. Bu enstrümanın nasıl kullanılacağına dair herhangi bir kısıtlama yoktur ve herhangi bir sınırı yoktur. Genellikle CEO dolandırıcılığı veya balina avcılığı olarak bilinen iş e-postası gizliliği, elektronik iletişim yoluyla üst düzey yöneticiler veya güvenilir ortaklar gibi davranarak şirketlere saldırmanın bir yöntemidir.
Siber suç faaliyetlerine adanmış bir forumda yapılan görüşmelere göre, tehdit aktörlerinin BEC e-postaları oluşturmak için ChatGPT kullandığına dair kanıtlar var. AI tarafından üretilen bu e-postalar, diğer dillerde de düşük düzeyde yeterliliğe sahip bilgisayar korsanları tarafından bu tür saldırıları gerçekleştirmek için kullanılabilir.
Farklı bir konuda ChatGPT gibi uygulamalar için “Jailbreak”ler ele alındı. Bunlar, ChatGPT’yi kullanım kapsamı dışında kalan hassas bilgileri ifşa etmeye zorlamak için dikkatle geliştirilmiş istemlerdir. Hatta uygunsuz şeyler teslim edebilir veya tehlikeli kodlar geliştirebilir. WormGPT’nin mevcut GPT’lere alternatif olarak özel olarak inşa edildiği bildirildi ve bu bilgi, siber suçluların uğrak yeri olan bir tartışma sitesinde keşfedildi. GPTJ (Generative Pre-trained Transformer-J) dil modellerini kullanır ve kod biçimlendirme için çeşitli özellikler ve yeteneklerle donatılmıştır. WormGPT kullanılarak gerçekleştirilen bir testte, programa bir hesap yöneticisini sahte bir fatura ödemesi için baskı yapmak amacıyla bir BEC e-postası oluşturma görevi verildi. Bulgular inanılmaz derecede zararlıydı, çünkü gramer hataları içermeyen ve herhangi bir çalışanı ikna edecek kadar ikna edici olan ikna edici bir e-posta geliştirdiler.
WormGPT’yi kullanmak istiyorsanız, resmi forum bağlantısını kullanabilirsiniz; ancak, bu URL’yi kimlik avı veya başka herhangi bir suç faaliyeti için kullanmak kurallara aykırıdır. Hem genel hem de yasal sorulara yanıt verme yeteneği de dahil olmak üzere her açıdan standart ChatGPT ile aynı olduğundan, buna erişmeye çalışmak yerine standart sürümü kullanmanız şiddetle tavsiye edilir.
Prensip olarak, doğru koşullar mevcutsa WormGPT iyi amaçlar için kullanılabilir. Ancak WormGPT adlı kötü amaçlı yazılımın zarar verme amacıyla geliştirilip dağıtıldığını akılda tutmak önemlidir. Herhangi bir şekilde kullanılması ahlaki kaygılara yol açar ve birini yasal olarak tehlikeye atabilir.
WormGPT’nin geliştiricisi, kullanıcıların bota Python kodunu kullanarak kötü amaçlı yazılım oluşturması için nasıl komut verebileceklerini ve zararlı saldırıların nasıl planlanacağı konusunda rehberlik isteyebileceklerini gösteren fotoğraflar da yayınladı. Bu özellikler WormGPT web sitesinde görülebilir. Geliştirici, büyük dil modelinin eski bir sürümü olan 2021 büyük dil modelinde yer alan açık kaynaklı GPT-J’yi kullandıklarını iddia ediyor. WormGPT, kötü amaçlı yazılımların oluşturulmasına ilişkin verilerin kullanımını içeren model eğitiminden sonra geliştirildi.
Sonuç olarak, AI’nın büyümesi, ilerici ve yeni saldırı vektörlerinin ortaya çıkmasına neden olur, ancak aynı zamanda belirli avantajları da vardır. Sıkı önleyici tedbirlerin devreye alınması zorunludur. Aşağıda, uygulayabileceğiniz stratejilerin bir listesi bulunmaktadır:
BEC saldırılarına, özellikle de yapay zeka tarafından etkinleştirilenlere karşı savunma yapmak için kuruluşlar, hem kapsamlı hem de sıklıkla güncellenen eğitim programları geliştirmelidir. Bu kursa katılanlar, BEC tehditlerinin doğasını, yapay zekanın bu riskleri artırmak için nasıl kullanılabileceğini ve saldırganların kullandığı teknikleri daha iyi anlayarak ayrılmalıdır. Bu tür bir eğitimin aynı şekilde işçilerin sürekli gelişen mesleki gelişimine dahil edilmesi gerekir. Şirketler, yapay zeka güdümlü iş e-postası ele geçirme saldırılarına karşı kendilerini korumak için sıkı e-posta doğrulama önlemleri uygulamalıdır. Bunlar, kuruluş dışından gelen e-postaların dahili yöneticilere veya tedarikçilere benzediğini otomatik olarak tanıyan sistemlerin yerleştirilmesini ve BEC saldırılarıyla ilişkili belirli terimleri içeren iletişimleri işaret eden e-posta sistemlerinin kurulmasını içerir.
Şu anda risk altyapısı uzmanı ve araştırmacı olarak çalışan bilgi güvenliği uzmanı.
Risk ve kontrol süreci, güvenlik denetimi desteği, iş sürekliliği tasarımı ve desteği, çalışma grubu yönetimi ve bilgi güvenliği standartları konularında 15 yıllık deneyim.