chatgpt-e-mais-o-que-ia-chatbots-significam-para-o-futuro-da-cibersegurança

Desde as tarefas relativamente simples, como compor emails, até trabalhos mais complexos, como escrever ensaios ou compilar código, ChatGPT - a ferramenta de processamento de linguagem natural impulsionada por IA da OpenAI - tem despertado um enorme interesse desde o seu lançamento.

Não é de forma alguma perfeito, é claro - é conhecido por cometer erros e equívocos ao interpretar as informações que está aprendendo, mas muitos veem isso, e outras ferramentas de IA, como o futuro de como usaremos a internet.

Os termos de serviço da OpenAI para o ChatGPT proíbem especificamente a geração de malware, incluindo ransomware, keyloggers, vírus ou "outros softwares destinados a causar algum nível de dano". Também proíbem tentativas de criar spam, assim como casos de uso com intenções de cibercrime.

Mas como acontece com qualquer tecnologia online inovadora, já há pessoas a experimentar como poderiam explorar o ChatGPT para fins mais obscuros.

Após o lançamento, não demorou muito para que os criminosos cibernéticos começassem a publicar mensagens em fóruns clandestinos sobre como o ChatGPT poderia ser usado para facilitar atividades cibernéticas maliciosas, como escrever e-mails de phishing ou ajudar a compilar malware.

E há preocupações de que os bandidos tentarão usar o ChatGPT e outras ferramentas de IA, como o Google Bard, como parte de seus esforços. Embora essas ferramentas de IA não vão revolucionar os ciberataques, elas poderiam ajudar os criminosos cibernéticos - mesmo que inadvertidamente - a conduzir campanhas maliciosas com mais eficiência.

"Não penso, pelo menos a curto prazo, que o ChatGPT irá criar tipos completamente novos de ataques. O foco será tornar as suas operações diárias mais eficientes em termos de custos", afirma Sergey Shykevich, gestor de grupo de inteligência de ameaças na Check Point, uma empresa de cibersegurança.

Também: O que é ChatGPT e por que isso importa? Aqui está tudo o que você precisa saber

Os ataques de phishing são o componente mais comum de campanhas maliciosas de hacking e fraude. Seja enviando e-mails para distribuir malware, links de phishing ou sendo usados para convencer uma vítima a transferir dinheiro, o e-mail é a ferramenta-chave na coerção inicial.

Essa dependência do e-mail significa que as gangues precisam de um fluxo constante de conteúdo claro e utilizável. Em muitos casos - especialmente com phishing - o objetivo do atacante é persuadir uma pessoa a fazer algo, como transferir dinheiro. Felizmente, muitas dessas tentativas de phishing são fáceis de identificar como spam no momento. Mas um redator automático eficiente poderia tornar esses e-mails mais convincentes.

O cibercrime é uma indústria global, com criminosos em todos os tipos de países a enviar emails de phishing para potenciais alvos em todo o mundo. Isso significa que a linguagem pode ser um obstáculo, especialmente para as campanhas de spear-phishing mais sofisticadas que dependem de as vítimas acreditarem que estão a falar com um contacto de confiança - e alguém é pouco provável de acreditar que está a falar com um colega se os emails estiverem cheios de erros de ortografia e gramática não característicos ou pontuação estranha.

Mas se a IA for explorada corretamente, um chatbot poderia ser usado para escrever texto para emails em qualquer idioma que o atacante desejar.

"A grande barreira para os cibercriminosos russos é o idioma - o inglês", diz Shykevich. "Atualmente, eles contratam graduados em estudos de inglês nas faculdades russas para escreverem e-mails de phishing e trabalharem em centrais de atendimento - e eles têm que pagar por isso."

Ele continua: "Algo como o ChatGPT pode poupar-lhes muito dinheiro na criação de uma variedade de mensagens de phishing diferentes. Pode apenas melhorar a vida deles. Acredito que é o caminho que eles vão procurar."

Em teoria, existem proteções em vigor que têm como objetivo prevenir abusos. Por exemplo, o ChatGPT requer que os utilizadores registem um endereço de email e também exige um número de telefone para verificar o registo.

E, embora o ChatGPT recuse escrever e-mails de phishing, é possível pedir-lhe para criar modelos de e-mail para outras mensagens, que são frequentemente exploradas por atacantes cibernéticos. Esse esforço pode incluir mensagens como alegar que um bônus anual está disponível, uma atualização de software importante deve ser baixada e instalada, ou um documento anexo precisa ser analisado com urgência.

"Escrever um email para convencer alguém a clicar num link para obter algo como um convite para uma conferência - é muito bom e se você é um falante não nativo de inglês, isso parece muito bom", diz Adam Meyers, vice-presidente sênior de inteligência na Crowdstrike, uma provedora de segurança cibernética e inteligência de ameaças.

"Pode fazê-lo criar um convite bem formulado, gramaticalmente correto, que não seria capaz de fazer se não fosse falante nativo de inglês."

Mas abusar destas ferramentas não é exclusivo apenas para o email; criminosos podem utilizá-las para ajudar a escrever um script para qualquer plataforma online baseada em texto. Para os atacantes que executam golpes, ou até mesmo para grupos avançados de ameaças cibernéticas que tentam realizar campanhas de espionagem, isso poderia ser uma ferramenta útil - especialmente para criar perfis sociais falsos para atrair as pessoas.

"Se você quer gerar um discurso de negócios plausível e sem sentido para o LinkedIn, fazendo parecer que você é um profissional de negócios real tentando fazer conexões, o ChatGPT é ótimo para isso", diz Kelly Shortridge, uma especialista em cibersegurança e tecnóloga sênior de produtos principais na provedora de computação em nuvem Fastly.

Vários grupos de hackers tentam aproveitar o LinkedIn e outras plataformas de mídia social como ferramentas para realizar campanhas de ciberespionagem. Mas criar perfis online falsos, mas que parecem legítimos - e preenchê-los com publicações e mensagens - é um processo demorado.

Shortridge acredita que os atacantes podem usar ferramentas de IA como o ChatGPT para escrever conteúdo convincente e também se beneficiar de ser menos intensivo em mão-de-obra do que fazer o trabalho manualmente.

"Muitas dessas campanhas de engenharia social requerem muito esforço, porque é preciso criar esses perfis", diz ela, argumentando que as ferramentas de IA poderiam reduzir significativamente a barreira de entrada.

"Tenho certeza de que o ChatGPT poderia escrever posts de liderança de pensamento muito convincentes", ela diz.

A natureza da inovação tecnológica significa que, sempre que algo novo surge, haverá sempre aqueles que tentam explorá-lo para fins maliciosos. E mesmo com os meios mais inovadores de tentar prevenir abusos, a natureza sorrateira dos criminosos cibernéticos e fraudadores significa que eles provavelmente encontrarão meios de contornar as proteções.

"Não há maneira de eliminar completamente o abuso a zero. Nunca aconteceu com nenhum sistema", diz Shykevich, que espera que destacar possíveis problemas de segurança cibernética signifique que haja mais discussão sobre como evitar que os chatbots de IA sejam explorados para fins errantes.

"É uma ótima tecnologia - mas, como sempre com novas tecnologias, existem riscos e é importante discuti-los para estar ciente deles. E eu acredito que quanto mais discutirmos, mais provável é que a OpenAI e empresas similares invistam mais na redução de abusos", sugere ele.

Também há vantagens para a cibersegurança em chatbots de IA, como o ChatGPT. São especialmente bons em lidar e compreender código, por isso há potencial para utilizá-los para ajudar os defensores a entender malware. Como também são capazes de escrever código, é possível que, ao auxiliar os desenvolvedores em seus projetos, essas ferramentas possam contribuir para criar código melhor e mais seguro de forma mais rápida, o que é bom para todos.

Tal como escreveu recentemente o analista principal da Forrester, Jeff Pollard, o ChatGPT poderia proporcionar uma redução massiva no tempo necessário para produzir relatórios de incidentes de segurança.

Virar isso mais rápido significa mais tempo fazendo as outras coisas - testar, avaliar, investigar e responder, tudo isso ajuda as equipes de segurança a aumentarem a escala

"Se a orquestração, automação e resposta de segurança estiverem configuradas corretamente para acelerar a recuperação de artefatos, isso pode acelerar a detecção e resposta e ajudar os analistas do centro de operações de segurança a tomar decisões melhores", diz ele.

Portanto, os chatbots podem dificultar a vida para alguns na cibersegurança, mas também podem trazer vantagens.

ZDNET entrou em contato com a OpenAI para comentários, mas não obteve resposta. No entanto, ZDNET perguntou ao ChatGPT quais regras ele tem para evitar o uso indevido para phishing - e recebemos o seguinte texto.

"É importante notar que, embora os modelos de linguagem de IA, como o ChatGPT, possam gerar texto similar a e-mails de phishing, eles não podem realizar ações maliciosas por si só e necessitam da intenção e ações de um usuário para causar danos. Sendo assim, é importante que os usuários tenham cautela e bom julgamento ao utilizar a tecnologia de IA e estejam vigilantes na proteção contra phishing e outras atividades maliciosas."