A equipe do Netskope Threat Labs avaliou os riscos do ChatGPT, uma ferramenta de IA que está revolucionando o mercado, destacando que pode ser usada para fins maliciosos, e aconselha a conscientização. Por meio de testes, os especialistas descobriram que ferramentas como o ChatGPT têm potencial de ajudar no desenvolvimento de malware e aprimorar os ataques de engenharia social, apesar dos avisos incorporados na plataforma. De acordo com essa análise, o ChatGPT pode diminuir significativamente a barreira de entrada dos cibercriminosos na construção de seus ataques, fornecendo recursos como textos de phishing ou peças de código malicioso.
Uma das ameaças que a ferramenta representa é a possibilidade de ensinar programadores novatos a codificar e desenvolver malware, desde que o questionador tenha acesso às perguntas certas e seja capaz de aplicar o conhecimento posteriormente.
Para demonstrar esta ameaça, o Netskope Threat Labs pediu ao ChatGPT para exemplificar algumas técnicas que são comumente usadas em malware, tais como injeção de processos, detecção de máquinas virtuais, download de arquivos externos, acesso remoto e até mesmo criptografia de arquivos, o que pode ajudar na criação de ransomware. A ferramenta foi capaz de escrever código para esse efeito em diferentes linguagens, como C++, Python e ASM, e explicar como funciona. O ChatGPT também foi capaz de responder perguntas simples sobre codificação, e até mesmo criar exercícios para testar o conhecimento do usuário.
Apesar destas descobertas, os pesquisadores explicam que o ChatGPT ainda não é a maneira mais fácil – ou mais rápida – de aprender e escrever código malicioso. Gustavo Palazolo, pesquisador do Netskope Threat Labs explica: “O ChatGPT não escreverá malware novo ou funcional do zero. Neste ponto, a ferramenta pode ser usada como um recurso para estudar e criar trechos de código que, quando combinados, podem ser usados para criar malware. No entanto, requer um certo nível de conhecimento do usuário para ser desenvolvido. É comum que os novatos criem malware copiando e ajustando o código existente ao invés de escrevê-lo do zero, o que provavelmente ainda consome menos tempo do que contornar as medidas de segurança do ChatGPT e ter que combinar e ajustar pedaços de código”.
Ainda segundo Palazolo, um risco mais urgente associado ao ChatGPT é seu potencial para diminuir a barreira de entrada de cibercriminosos que constroem ataques de engenharia social. “Por exemplo, apesar dos avisos do site contra esses casos de uso, ele poderia ser usado para escrever e-mails convincentes de phishing que tentam roubar informações sensíveis ou atrair vítimas para abrir arquivos anexos. Os atacantes também podem usá-lo para criar notícias falsas, redirecionando as vítimas para sites que tentam roubar dados sensíveis, como e-mail ou contas bancárias. Todas estas funcionalidades podem ser disruptivas na indústria da cibersegurança e mudar a escala na qual os atores da ameaça lançam seus ataques”.
Palazolo recomenda que empresas e indivíduos permaneçam atentos às ameaças ao utilizar a ferramenta. “Os ataques de engenharia social são um alto risco persistentemente para empresas mesmo sem IA, e têm crescido desde o início da pandemia. A maioria das equipes ainda atua de forma remota e as pessoas mudaram seu conceito de confiança digital – que erroneamente se torna cada vez maior – e utilizando ferramentas de colaboração online para interação.
A disponibilidade de uma ferramenta de IA capaz de imitar o comportamento humano torna este risco ainda maior, portanto é importante que as empresas reconstruam o ‘firewall humano’, treinando funcionários e clientes para identificar as pequenas pistas, como detalhes equivocados em e-mails de phishing, e verificar sempre a identidade da pessoa com quem estão se comunicando”.
Segundo o especialista, a boa notícia é que a maioria desses novos vetores de ataque que os especialistas descobrem em IA podem ser abordados por meio de uma postura de segurança eficaz. Isto inclui manter o software corrigido (patch) e atualizado, manter políticas e tecnologias eficazes de proteção de dados e equipar os ativos mais valiosos da empresa com software adicional de segurança, como a proteção zero trust, mantendo uma cultura de vigilância.
“Embora o ChatGPT possa ser utilizado por cibercriminosos de várias maneiras, é importante lembrar que a IA não é só uma arma para eles, mas uma ferramenta valiosa para a defesa, seja ela usada para avaliar a postura de segurança ou para detectar vulnerabilidades no código”, conclui Palazolo.
