ChatGPT 對網(wǎng)絡(luò)安全的影響
前 言
過去幾周,整個(gè)互聯(lián)網(wǎng)科技圈被一個(gè)來自美國的攪局者--ChatGPT 徹底霸榜,甚至全社會(huì)普通大眾都在開始談?wù)?ChatGPT,ChatGPT 已經(jīng)成為了全球月活最快破億的消費(fèi)應(yīng)用。雖然 ChatGPT 國內(nèi)仍然用不了,但絲毫不影響關(guān)于它的消息出現(xiàn)在各個(gè)平臺(tái),刷了一遍又一遍的屏。
面對新鮮事物,好奇與對未知的抵觸總是相伴而來的,特別是國內(nèi)互聯(lián)網(wǎng)表現(xiàn)得又如此急切,在對 ChatGPT 的討論里,態(tài)度總是身處兩極:一方是片面神化,把 ChatGPT 的出現(xiàn)認(rèn)為是宣告新時(shí)代的到來,無所不能、無處不在,充滿了對未來的想象。而另一方則認(rèn)為熱度的背后全是資本的炒作、新瓶舊酒,無非是又一個(gè)新的韭菜切割器,充滿了對其不屑。
作為一個(gè)新鮮事物被推到了風(fēng)口浪尖,ChatGPT 到底是新一代神器還是圖個(gè)樂的玩具、亦或割韭菜的工具?打破對新鮮事物好奇與抵觸最佳方式就是更多地了解它、甚至盡可能親自去用一用。
作為信息安全相關(guān)產(chǎn)業(yè)的從業(yè)者,出于本能的反應(yīng)都會(huì)去思考這樣的問題:ChatGPT 這個(gè)互聯(lián)網(wǎng)上滋生出來的新事物對信息安全相關(guān)產(chǎn)業(yè)將帶來什么樣的影響?
二
關(guān)于 ChatGPT
1、ChatGPT 是什么?
ChatGPT--可能很多人被這個(gè)縮寫的名字搞糊涂了,第一眼無法看出到底什么意思,GPT 的英文原文是 Generative Pre-training Transformer(預(yù)訓(xùn)練生成模型),業(yè)界有人將 ChatGPT 概括為聊天機(jī)器人+搜索工具+文本創(chuàng)造工具的組合,或者簡單理解它是一個(gè)生成式 AI(內(nèi)容生成器)。
GPT 是由 OpenAI 開發(fā)的自然語言處理(NLP)模型。這些模型經(jīng)過訓(xùn)練,可以生成類似于人類書寫的文本,并且是 NLP 的重大進(jìn)步。它使用一種稱為轉(zhuǎn)換器架構(gòu)的深度學(xué)習(xí)技術(shù),通常用于語言翻譯和文本生成等 NLP任務(wù)。
目前 ChatGPT 是基于 GPT-3 模型的變體,它是利用復(fù)雜的深度學(xué)習(xí)系統(tǒng)來創(chuàng)建內(nèi)容,并在大量公開可用的在線文本(如維基百科)上進(jìn)行訓(xùn)練。模型允許有效理解自然語言,并使用潛在結(jié)果的概率分布。GPT-3 對這些進(jìn)行采樣(有一定隨機(jī)性),因此文本響應(yīng)永遠(yuǎn)不會(huì)相同。
2、ChatGPT 能做什么?
ChatGPT 能做什么?它的主要功能是協(xié)助回答問題、提供信息和生成有關(guān)歷史、科學(xué)、地理等各種主題的信息,這些信息僅限于它所接受的訓(xùn)練(因?yàn)樗鼰o法主動(dòng)瀏覽互聯(lián)網(wǎng)),但其知識(shí)在不斷擴(kuò)展。
3、ChatGPT 牛在哪里?
拿搜索引擎來說,誕生了二十多年的搜索引擎發(fā)展并不是線性的,而是隨著信息量的指數(shù)增大,跳躍式在發(fā)展。第一代的搜索引擎 WWW(World Wide Web Wanderer),只是個(gè)存放網(wǎng)站網(wǎng)址以及標(biāo)題的目錄,甚至沒有提供跳轉(zhuǎn)服務(wù);隨著技術(shù)的發(fā)展,搜索引擎可以不局限于網(wǎng)站標(biāo)題產(chǎn)生標(biāo)簽,進(jìn)入文本檢索時(shí)代。第二代的搜索引擎可以初步找到自己想要的內(nèi)容,受限制的僅僅只是數(shù)據(jù)庫的容量。反饋的搜索結(jié)果跟用戶搜索內(nèi)容有直接關(guān)系,它更像是一個(gè)超大的文本檢索器,返回的是包含關(guān)鍵詞的清單;第三代搜索引擎是谷歌引領(lǐng)開發(fā)的,它把反饋回來的數(shù)據(jù)整合成一個(gè)門戶網(wǎng)站的界面,一個(gè)個(gè)外鏈組合成了一個(gè)完整的信息世界。到了這個(gè)時(shí)候,搜索引擎其實(shí)已經(jīng)固定下來了,只剩下如何精準(zhǔn)地通過關(guān)鍵詞來判斷用戶的真正查詢目的這一個(gè)問題了。如何不讓用戶再次篩選,直接把精篩過的高相關(guān)內(nèi)容直接送到用戶眼前,現(xiàn)在的搜索引擎還做不到這點(diǎn)。但是,最后這個(gè)問題 ChatGPT 能做到!ChatGPT 能理解你的意思、整合信息、反饋出更直接的結(jié)果。
ChatGPT 為什么顯得格外聰明?或者說它是怎么理解我們的?不是它理解了這個(gè)世界的規(guī)則,而是它把概率學(xué)玩轉(zhuǎn)的同時(shí)還學(xué)會(huì)了按人類的方式去表達(dá)。
ChatGPT 背后的 AI 模型的訓(xùn)練過程,就是讓 AI 不斷進(jìn)行填詞考試,輸入一個(gè)字、一句話,讓程序去預(yù)測出現(xiàn)概率最高的下一個(gè)字、下一句話。ChatGPT 用到了 3000 億單詞的語料數(shù)據(jù)和 1750 億的參數(shù)。前者是喂給程序的訓(xùn)練資料,后者基于訓(xùn)練資料 ChatGPT 模型對世界的理解,一定程度上說,這個(gè)參數(shù)量級(jí)越大,AI 模型就越可靠,越能理解提問。在 ChatGPT身上還做了一項(xiàng)訓(xùn)練--人類偏好處理,即從人類的反饋中讓 AI 學(xué)會(huì)理解人類,因此 ChatGPT 相比前輩更知道哪種答案才是人類想要的,所以 ChatGPT牛在:
(1)它是個(gè)通用的模型,只要提示詞引導(dǎo),就能快速適應(yīng)不同領(lǐng)域。
(2)它能理解你的問題,只要給的引導(dǎo)越多,它就能給出你想要的答案。
由此可以想象更智能的客服、更能聽懂你話的 AI、會(huì)教你買東西的導(dǎo)購、一鍵生成代碼的遠(yuǎn)程指導(dǎo)......,一切皆有可能。
當(dāng)下,ChatGPT 還存在落地成本高、結(jié)果不穩(wěn)定、推理能力有限(有時(shí)需要我們逐步引導(dǎo))、更新困難(指模型更新困難)等問題,但絲毫不能懷疑它將開創(chuàng)嶄新的無窮未來。
三
ChatGPT 對網(wǎng)絡(luò)安全的影響
眾所周知,AI 對網(wǎng)絡(luò)安全帶來了巨大而深刻的影響,它既被用來改進(jìn)和加強(qiáng)網(wǎng)絡(luò)安全解決方案,幫助人類分析師更快地分類威脅和修復(fù)漏洞,也被黑客用來發(fā)動(dòng)更大規(guī)模、更復(fù)雜的網(wǎng)絡(luò)攻擊。那么以 AI 為核心的ChapGPT 又能給網(wǎng)絡(luò)安全帶來什么新的影響呢?我們可以從以下兩方面展開來看:
1、ChatGPT 帶來的網(wǎng)絡(luò)安全新威脅
首先,從開展網(wǎng)絡(luò)攻擊的角度來看,ChatGPT 這類生成式人工智能是偏向于威脅行為者的。生成式 AI 能提供所要求的內(nèi)容--這極大有利于制作網(wǎng)絡(luò)釣魚電子郵件。它通過獲取的信息,利用額外的上下文關(guān)聯(lián)關(guān)系,并根據(jù)其理解得出結(jié)論。ChatGPT 可以毫不費(fèi)力地創(chuàng)建大量復(fù)雜的網(wǎng)絡(luò)釣魚電子郵件,甚至它還可以創(chuàng)建非常逼真的虛假配置文件,這樣滲透進(jìn)入過去被認(rèn)為機(jī)器不適合或不擅長的領(lǐng)域(如 LinkedIn 等等),偽造出令人信服的資料甚至圖片。
其次,目前已經(jīng)看到有威脅行為者正在使用 ChatGPT 來開發(fā)惡意軟件。雖然 ChatGPT 的代碼編寫能力的質(zhì)量結(jié)果好壞參半,但專門從事代碼開發(fā)的生成式 AI 可以極大地加速惡意軟件的開發(fā)速度。這種開發(fā)速度的加快直觀的結(jié)果就是它有助于更快地利用漏洞,在漏洞披露后的幾個(gè)小時(shí)內(nèi)即可開發(fā)出直接利用漏洞來開展攻擊的工具,而不是過去的幾天后才開發(fā)出工具來利用它。
再者,ChatGPT 大大降低了威脅參與者基于技能的進(jìn)入成本。目前,威脅的復(fù)雜性或多或少與威脅行為者的技能水平有關(guān),但 ChatGPT 已經(jīng)將惡意軟件空間開放到一個(gè)全新的新手威脅參與者水平上,他們參與門檻極大地降低,因?yàn)樗粌H擴(kuò)大了潛在威脅的數(shù)量,將潛在威脅行為者的數(shù)量擴(kuò)大到了令人震驚的程度,而且還使那些幾乎不知道自己在做什么的人更有可能加入戰(zhàn)斗。
由于 ChatGPT 的迭代和改進(jìn)速度驚人,依托它來開展的網(wǎng)絡(luò)攻擊能力水平能得到同步進(jìn)化,可以說它在發(fā)現(xiàn)漏洞方面越來越快、越來越聰明,在編程實(shí)現(xiàn)漏洞利用方面越來越及時(shí)、越來越成熟高效,新發(fā)現(xiàn)的漏洞的武器化時(shí)間必將越來越短。
具體展開來分析,ChatGPT 新增的惡意用途表現(xiàn)為:
(1)整合多種惡意軟件
過去的惡意軟件往往相對獨(dú)立,都在針對某些或某類暴露出來的漏洞進(jìn)行攻擊,有點(diǎn)單點(diǎn)定向攻擊的味道,比較難以擴(kuò)散,但 ChatGPT 出現(xiàn)后,正如網(wǎng)絡(luò)安全出版商 CyberArk 報(bào)道的那樣,新的病毒或攻擊武器可以在ChatGPT 的幫助下讓過去能被阻止、檢測、過濾的病毒獲得新生,因?yàn)樗梢酝ㄟ^精確地引導(dǎo)攻擊請求,ChatGPT 就可以生成網(wǎng)絡(luò)犯罪分子過去難以整合的代碼,從而打出組合拳,實(shí)現(xiàn)全面的立體攻擊甚至自動(dòng)化智能攻擊。
(2)提升漏洞發(fā)現(xiàn)能力
ChatGPT 具有強(qiáng)大的分析功能。通過向 ChatGPT 提供源代碼甚至部分泄露出來的源代碼,ChatGPT 就有能力檢測出其中可能的漏洞,目前據(jù)報(bào)道已經(jīng)有黑客在漏洞賞金計(jì)劃期間使用了這種技術(shù),并且獲得成功(比如通過分析 PHP 代碼片段,ChatGPT 發(fā)現(xiàn)了通過數(shù)據(jù)庫訪問用戶名的可能性以及方法和路徑)。因此,可以肯定的是,網(wǎng)絡(luò)犯罪分子已經(jīng)開始使用它來嘗試發(fā)現(xiàn)新的漏洞。
(3)給新手黑客賦能
過去我們往往認(rèn)為黑客都具備很高的技術(shù)技能,但 ChatGPT 出現(xiàn)后新手黑客(script kiddie)大量涌現(xiàn),他們并沒有很高的技術(shù)技能,其活動(dòng)充其量只是使用暗網(wǎng)上可用的現(xiàn)有腳本,或簡單地在 GitHub 平臺(tái)上發(fā)起入門級(jí)攻擊(例如不發(fā)明任何東西,只是隨機(jī)性地使用其他人開發(fā)的程序,實(shí)現(xiàn)對 Kali Linux 操作系統(tǒng)的冒犯性使用)。在 ChatGPT 出現(xiàn)后,這些入門級(jí)網(wǎng)絡(luò)犯罪分子立刻可以獲得新的能力,從過去的只能簡單地利用指令中立刻跳升到編寫針對性代碼的新級(jí)別,這極大地激勵(lì)了眾多入門級(jí)黑客使用ChatGPT 發(fā)起自己的攻擊。
(4)按需偽造釣魚電子郵件
由于可以通過將問題定向到源代碼生成,因此可以要求 ChatGPT 編寫網(wǎng)絡(luò)釣魚電子郵件的文本(例如交付、人力資源或付款提醒等),ChatGPT可以非常方便且高效地完成對應(yīng)的上下文,ChatGPT 生成的文本即使是專家也看不出來,這可以說為犯罪分子提供了按需偽造文本的利器,由于偽造出來的文本完全可以以假亂真,人工都難以識(shí)別,因此機(jī)器更無法過濾,可以大大提高攻擊的有效性。根據(jù) HP Wolf Security 的研究,網(wǎng)絡(luò)釣魚占惡意軟件攻擊的近 90%,業(yè)界專家估計(jì) ChatGPT 必將會(huì)使情況變得更糟。因?yàn)檫^去魚叉式網(wǎng)絡(luò)釣魚使用社會(huì)工程來創(chuàng)建具有更高收益的高度針對性和定制的誘餌,但是魚叉式網(wǎng)絡(luò)釣魚需要大量的手動(dòng)工作,因此過去規(guī)模很小,隨著利用 ChatGPT 來產(chǎn)生誘餌,攻擊者立刻可以解決大量和針對性兩全方面的問題。更要命的是基于 ChatGPT 的這類攻擊可以輕松繞過電子郵件保護(hù)掃描程序,因?yàn)樗鼈儾话魏螑阂飧郊?/span>
(5)快速篩選和鎖定目標(biāo)
ChatGPT 可以被用來作為高效通過友好聊天收集信息的一種工具,因?yàn)橛脩舾静粫?huì)知道他們正在與 AI 交互。利用一個(gè)毫無戒心的人可能會(huì)在一長串的交談中泄露出來的看似無害的信息,這些信息結(jié)合起來可能有助于確定他們的身份、工作和社會(huì)生活關(guān)系;通過 ChatGPT 向企業(yè)員工發(fā)送問題,員工可能會(huì)在不知不覺中分享有關(guān)組織正在做什么、如何處理網(wǎng)絡(luò)事件、組織當(dāng)前正在處理什么網(wǎng)絡(luò)事件…等。此外,有關(guān)技術(shù)問題的溝通可能揭示組織感興趣的業(yè)務(wù)發(fā)展方向…結(jié)合其他人工智能模型,這足以告知黑客或黑客群體誰或者那個(gè)組織可能是一個(gè)很好的潛在目標(biāo)以及如何利用他們。
(6)模擬網(wǎng)絡(luò)防御/攻擊以發(fā)展網(wǎng)絡(luò)攻擊技術(shù)
據(jù)報(bào)道,攻擊者正在使用 ChatGPT 來模擬網(wǎng)絡(luò)防御來發(fā)展他們的網(wǎng)絡(luò)攻擊技術(shù),以找出目標(biāo)系統(tǒng)的漏洞。同時(shí),他們通過模擬攻擊來評(píng)估其攻擊的有效性。他們通過利用 ChatGPT 對不同的惡意軟件技術(shù)進(jìn)行研究,甚至利用它創(chuàng)建對目標(biāo)最有效的惡意軟件。
(7)社會(huì)工程攻擊
ChatGPT 的誕生和發(fā)展,給甚至不精通各種語言的攻擊者借助生成的文本進(jìn)行社會(huì)工程攻擊提供了極大的方便。攻擊者利用 ChatGPT,在醫(yī)學(xué)研究、國防和網(wǎng)絡(luò)安全等關(guān)鍵領(lǐng)域傳播誤導(dǎo)性信息/錯(cuò)誤信息。過去為了捕獲人工智能生成的錯(cuò)誤信息,專家們使用人工智能驅(qū)動(dòng)的模型轉(zhuǎn)換器,通過對大量資源進(jìn)行檢查來快速識(shí)別錯(cuò)誤信息。然而,ChatGPT 也使用模型轉(zhuǎn)換器,可以輕松生成繞過網(wǎng)絡(luò)安全專家的系統(tǒng)的識(shí)別。
此外,通過利用 ChatGPT 向用于自動(dòng)網(wǎng)絡(luò)安全響應(yīng)的威脅情報(bào)提供誤導(dǎo)性信息,可以降低網(wǎng)絡(luò)安全的有效性,這可能使專家都無法關(guān)注到需要解決的實(shí)際漏洞。
2、ChatGPT 帶來的網(wǎng)絡(luò)安全防御新機(jī)遇
ChatGPT 在網(wǎng)絡(luò)安全方面給我們帶來新的風(fēng)險(xiǎn)的同時(shí)也為網(wǎng)絡(luò)安全防御帶來了新氣象,它也可以是一個(gè)強(qiáng)大的網(wǎng)絡(luò)安全工具,具體體現(xiàn)為:
(1)提升防御的自動(dòng)化水平并減少人為錯(cuò)誤
ChatGPT 作為人工智能的典型代表,它對實(shí)現(xiàn)自動(dòng)化防御措施提供了有力支撐。目前,安全編排、自動(dòng)化和響應(yīng)(SOAR)工具在網(wǎng)絡(luò)安全策略中越來越受歡迎。由于 SOAR 具有減少應(yīng)對安全威脅所需的人為干預(yù)能力,利用 ChatGPT 這樣的 AI 來協(xié)助網(wǎng)絡(luò)安全策略的部署和動(dòng)態(tài)調(diào)整,可以大大減輕安全專家的工作量和工作強(qiáng)度,從而可騰更多的時(shí)間來聚焦處理 AI 無法處理的創(chuàng)造性工作。
ChatGPT 可以降低人為錯(cuò)誤的可能性。任何網(wǎng)絡(luò)安全系統(tǒng)的關(guān)鍵弱點(diǎn)之一是人為因素,無論您的計(jì)劃有多好,無論您的技術(shù)多么有效,只需要一兩個(gè)人犯了一個(gè)錯(cuò)誤,網(wǎng)絡(luò)就會(huì)無法抵御勒索軟件和其他網(wǎng)絡(luò)安全威脅。通過盡可能多地利用 ChatGPT 來自動(dòng)化生成解決方案,網(wǎng)絡(luò)安全公司有望減少人為錯(cuò)誤導(dǎo)致網(wǎng)絡(luò)災(zāi)難的可能性。
(2)ChatGPT 是信息安全人員的好助手
ChatGPT 可以通過進(jìn)行研究、撰寫報(bào)告、創(chuàng)建處理各種事件的腳本和檢查數(shù)據(jù)來幫助首席信息安全官。安全官員可以使用 ChatGPT 的綜合分析結(jié)果來增加對安全問題的了解,進(jìn)一步還可以借助 ChatGPT 的能力來尋找到應(yīng)對網(wǎng)絡(luò)風(fēng)險(xiǎn)的最佳方法。此外,它還是安全研究人員的很好的信息安全伴侶,因?yàn)樗梢院芎玫赝瓿稍S多任務(wù),同時(shí)與人們十分自然地交互。未來,它可以與安全管理團(tuán)隊(duì)深度配合,特別是那些處理腳本、惡意軟件分析和取證的團(tuán)隊(duì)。
(3)ChatGPT 可大大提高安全團(tuán)隊(duì)的效率
ChatGPT 能幫助 IT 和安全團(tuán)隊(duì)變得更加高效,實(shí)現(xiàn)自動(dòng)和/或半自動(dòng)漏洞檢測和修復(fù)以及基于優(yōu)先級(jí)的風(fēng)險(xiǎn)評(píng)估等工作。過去,可以分析數(shù)據(jù)安全的人工智能對于面臨資源有限的 IT 和安全團(tuán)隊(duì)來說非常稀缺,局限點(diǎn)在于需要海量數(shù)據(jù)的訓(xùn)練它才能理解特定環(huán)境中的什么是“正常”情況什么是“異常”情況,因此實(shí)施起來極其復(fù)雜。但是 ChatGPT 的誕生,大大簡化這樣的過程,它的超強(qiáng)“理解力”給安全團(tuán)隊(duì)帶來了極大的方便,使得自動(dòng)或半自動(dòng)漏洞檢測與修復(fù)不僅可行且高效起來。
(4)編寫事務(wù)性的處理代碼
可以利用 ChatGPT 編寫代碼,特別是事務(wù)性處理程序代碼。安全運(yùn)維分析師常見的任務(wù)是處理特定的日志文件、針對某些模式的 grep 并將其導(dǎo)出,以獲得對事件或問題的有意義的見解。通常分析師需要知道并熟悉一種腳本語言(如 Python),ChatGPT 可以以多種語言為他們編寫這些腳本,可以管理各種格式(LEAF、CEF、Syslog、JSON、XML 等),甚至可以做得更好。
四
結(jié) 語
網(wǎng)絡(luò)防御者和攻擊者之間一直在進(jìn)行一場永無止境的戰(zhàn)斗,一旦安全商開發(fā)出緩解最新威脅的方法,攻擊者就會(huì)忙于尋找解決方法或新的威脅來取代它。
隨著像 ChatGPT 這樣的創(chuàng)新變得越來越強(qiáng)大,網(wǎng)絡(luò)安全的軍備競賽將日益自動(dòng)化,這真的可能是一個(gè)全新的新世界。最終,攻防的兩邊都將發(fā)展到大部分是自動(dòng)化幾乎沒有人類參與的狀態(tài)。
在網(wǎng)絡(luò)安全環(huán)境中 ChatGPT 還不能替代人類--尤其是在識(shí)別和緩解威脅方面,但在正確的環(huán)境中與正確的團(tuán)隊(duì)合作,它會(huì)如虎添翼。
當(dāng)下如何用好 ChatGPT?如何避免 ChatGPT 帶來的風(fēng)險(xiǎn),業(yè)界專家提出建議有:
1、限制敏感查詢
由于與 ChatGPT 共享的信息可以向公眾提供,因此可以將查詢限制為個(gè)人和組織級(jí)別的非敏感查詢,只共享不會(huì)產(chǎn)生任何損害或?qū)е挛:M織的信息。
2、測試 ChatGPT 生成的代碼
從開源中學(xué)習(xí)的人工智能系統(tǒng)可能產(chǎn)生包含固有有害代碼的代碼,以及不符合安全開發(fā)標(biāo)準(zhǔn)的代碼。因此,在使用之前需要測試任何 AI 生成的代碼。
3、檢查準(zhǔn)確性
如果使用 ChatGPT 進(jìn)行研究或報(bào)告,務(wù)必檢查它們是否準(zhǔn)確。就像使用谷歌進(jìn)行研究一樣,必須記住人工智能為你提供的一個(gè)答案并不意味著它是正確的。
4、注意數(shù)據(jù)
ChatGPT 缺乏隱私意味著用戶應(yīng)該注意他們共享的數(shù)據(jù)。將來,OpenAI可能會(huì)創(chuàng)建一個(gè)維護(hù)隱私的付費(fèi)版本,這將緩解 ChatGPT 當(dāng)前的許多問題。
5、正確管理
無論所有可能的問題如何,如果管理得當(dāng),ChatGPT 仍然有可能成為強(qiáng)大的網(wǎng)絡(luò)安全工具。
總之,ChatGPT 給世界帶來了數(shù)字未來的曙光,開辟了解鎖生產(chǎn)力和效率可能性。盡管它使許多人的工作變得非常容易,但它也幫助攻擊者提出了進(jìn)化的方法,挑戰(zhàn)了最復(fù)雜的網(wǎng)絡(luò)安全。