Vzestup „Vibe Hacking“ je další noční můra AI

Google neodpověděl na žádost o komentář.

V roce 2023 získali výzkumníci bezpečnosti společnosti Trend Micro Chatgpt, aby generovali škodlivý kód tím, že jej vyzvali k roli výzkumného pracovníka bezpečnosti a Pentesteru. ChatGPT by pak šťastně generoval skripty PowerShell založené na databázích škodlivého kódu.

„Můžete jej použít k vytvoření malwaru,“ říká Moussouris. „Nejjednodušší způsob, jak obejít tyto záruky zavedené výrobci modelů AI, je říci, že soutěžíte v cvičení zachycení, a to pro vás šťastně vytvoří škodlivý kód.“

Neophistizovaní herci, jako jsou skriptové děti, jsou ve světě kybernetické bezpečnosti starým problémem a AI může jejich profil dobře zesílit. „Snižuje bariéru vstupu do počítačové kriminality,“ říká Wired Hayley Benedict, analytik kybernetické zpravodajství v Rane.

Říká však, že skutečná hrozba může pocházet ze zavedených hackerských skupin, které budou používat AI k dalšímu posílení jejich již tak strašlivých schopností.

„Jsou to hackeři, kteří již mají schopnosti a již mají tyto operace,“ říká. „Je schopen drasticky rozšířit tyto kybernetické operace a mohou vytvořit škodlivý kód mnohem rychleji.“

Moussouris souhlasí. „Zrychlení je to, co bude velmi obtížné ovládat,“ říká.

Hunted Labs ‚Smith také říká, že skutečná hrozba kódu generovaného AI je v rukou někoho, kdo již zná kód dovnitř a ven, který jej používá k rozšíření útoku. „Když pracujete s někým, kdo má hluboké zkušenosti a zkombinujete to s:“ Hej, můžu dělat věci mnohem rychleji, které by mi jinak trvalo pár dní nebo tří dnů, a teď mi to trvá 30 minut. “ To je opravdu zajímavá a dynamická část situace, “říká.

Podle Smitha mohl zkušený hacker navrhnout systém, který porazí více bezpečnostní ochrany a učí se, jak to jde. Škodlivý kousek kódu by přepsal své škodlivé užitečné zatížení, jak se učí za běhu. „To by bylo úplně šílené a obtížné se třídit,“ říká.

Smith si představuje svět, kde se stane 20 událostí v nulovém dni. „Díky tomu je to trochu děsivější,“ říká.

Moussouris říká, že nástroje k tomu, aby se tento druh útoku stal realitou, nyní existují. „Jsou dost dobří v rukou dostatečně dobrého operátora,“ říká, ale AI ještě není dost dobrá na to, aby nezkušený hacker provozoval hands-off.

„Nejsme tam úplně, pokud jde o AI, která bude schopna plně převzít funkci člověka v útočné bezpečnosti,“ říká.

Primální strach, že Chatbot Code jiskří, je, že to bude mít kdokoli, ale realita je taková, že sofistikovaný herec s hlubokou znalostí stávajícího kódu je mnohem děsivější. Xbow může být nejbližší věcí pro autonomní „AI hacker“, který existuje ve volné přírodě, a je to vytvoření týmu více než 20 kvalifikovaných lidí, jehož předchozí pracovní zkušenost zahrnuje GitHub, Microsoft a půl tuctu nejrůznějších bezpečnostních společností.

Poukazuje také na další pravdu. „Nejlepší obranou proti špatnému chlapi s AI je dobrý člověk s AI,“ říká Benedict.

Pro Moussouris je použití AI obou Blackhats i Whitehats jen dalším vývojem závodů se zbraněmi kybernetické bezpečnosti, kterou sledovala, že se odehrává po dobu 30 let. „Šlo to od:“ Budu tento hack provádět ručně nebo si vytvořím vlastní vlastní vykořisťování, „,“ vytvořím nástroj, který může kdokoli z těchto kontrol automaticky provozovat a provádět některé z těchto kontrol, „říká.

„AI je jen dalším nástrojem v sadě nástrojů a ti, kteří vědí, jak ji správně řídit, budou ti, kteří dělají ty vibey frontendy, které by mohl kdokoli použít.“