chatgpt-e-mais-o-que-ia-chatbots-significam-para-o-futuro-da-cibersegurança

A partir de tarefas relativamente simples, como compor e-mails, até trabalhos mais complexos, como escrever ensaios ou compilar códigos, ChatGPT -- a ferramenta de processamento de linguagem natural impulsionada por IA da OpenAI -- tem despertado grande interesse desde o seu lançamento.

Não é de forma alguma perfeito, é claro - é conhecido por cometer erros e equívocos ao interpretar a informação que está aprendendo, mas muitos o veem, e outras ferramentas de IA, como o futuro de como usaremos a internet.

Os termos de serviço da OpenAI para o ChatGPT proíbem especificamente a geração de malware, incluindo ransomware, keyloggers, vírus ou "outro software destinado a causar algum nível de dano". Também proíbe tentativas de criar spam, bem como casos de uso voltados para cibercrime.

Mas, assim como com qualquer tecnologia online inovadora, já existem pessoas que estão experimentando como poderiam explorar o ChatGPT para fins mais obscuros.

Após o lançamento, não demorou muito para que criminosos cibernéticos começassem a postar tópicos em fóruns clandestinos sobre como o ChatGPT poderia ser usado para ajudar a facilitar atividades cibernéticas maliciosas, como escrever emails de phishing ou auxiliar na criação de malware.

E existem preocupações de que malfeitores tentarão usar o ChatGPT e outras ferramentas de IA, como o Google Bard, como parte de seus esforços. Embora essas ferramentas de IA não irão revolucionar os ciberataques, elas ainda podem ajudar os criminosos cibernéticos - mesmo que inadvertidamente - a conduzir campanhas maliciosas de forma mais eficiente.

"Eu não acredito, pelo menos a curto prazo, que o ChatGPT irá criar tipos completamente novos de ataques. O foco será tornar as operações do dia a dia mais econômicas," afirma Sergey Shykevich, gerente do grupo de inteligência de ameaças da Check Point, uma empresa de cibersegurança.

Também: O que é o ChatGPT e por que é importante? Aqui está tudo que você precisa saber

Os ataques de phishing são o componente mais comum de campanhas maliciosas de hacking e fraude. Seja enviando e-mails para distribuir malware, links de phishing ou sendo usados para convencer uma vítima a transferir dinheiro, o e-mail é a ferramenta chave na coerção inicial.

Essa dependência do email significa que as gangues precisam de um fluxo constante de conteúdo claro e utilizável. Em muitos casos - especialmente com phishing - o objetivo do atacante é persuadir um humano a fazer algo, como transferir dinheiro. Felizmente, muitas dessas tentativas de phishing são fáceis de identificar como spam agora. Mas um redator automatizado eficiente poderia tornar esses emails mais persuasivos.

O cibercrime é uma indústria global, com criminosos de todos os países enviando e-mails de phishing para possíveis alvos ao redor do mundo. Isso significa que o idioma pode ser uma barreira, especialmente para as campanhas de spear-phishing mais sofisticadas, que dependem das vítimas acreditarem que estão conversando com um contato confiável - e é improvável que alguém acredite que está conversando com um colega se os e-mails estiverem repletos de erros ortográficos e gramaticais incomuns ou pontuação estranha.

Mas se a IA for explorada corretamente, um chatbot poderia ser usado para escrever textos em emails em qualquer idioma que o agressor desejar.

"A grande barreira para os cibercriminosos russos é o idioma - inglês", diz Shykevich. "Eles agora contratam formados em estudos de inglês nas faculdades russas para escreverem e-mails de phishing e trabalharem em centrais de atendimento - e precisam pagar dinheiro por isso."

Ele continua: "Algo como ChatGPT pode economizar bastante dinheiro na criação de uma variedade de mensagens de phishing diferentes. Isso pode apenas melhorar a vida deles. Acredito que esse é o caminho que eles buscarão."

Em teoria, existem proteções implementadas para evitar abusos. Por exemplo, o ChatGPT requer que os usuários se registrem com um endereço de email e também exige um número de telefone para verificar o registro.

E embora o ChatGPT se recuse a escrever e-mails de phishing, é possível pedir a ele para criar modelos de e-mails para outras mensagens, que são comumente exploradas por atacantes cibernéticos. Esse esforço pode incluir mensagens como alegar que um bônus anual está disponível, que uma atualização de software importante deve ser baixada e instalada, ou que um documento anexo precisa ser analisado com urgência.

"Enviar um e-mail para convencer alguém a clicar em um link para obter algo como um convite para uma conferência - isso é muito bom, e se você é não-nativo em inglês, isso parece realmente bom", diz Adam Meyers, vice-presidente sênior de inteligência da Crowdstrike, uma provedora de cibersegurança e inteligência de ameaças.

"Você pode fazer com que ele crie um convite bem formulado, gramaticalmente correto, que você não necessariamente seria capaz de fazer se você não fosse um falante nativo de inglês."

Mas abusar dessas ferramentas não se resume apenas ao e-mail; criminosos podem usá-las para ajudar a escrever texto para qualquer plataforma online baseada em texto. Para atacantes que executam golpes, ou até mesmo grupos avançados de ameaças cibernéticas tentando realizar campanhas de espionagem, isso poderia ser uma ferramenta útil - especialmente para criar perfis sociais falsos para atrair pessoas.

"Se você deseja gerar um discurso empresarial plausível e sem sentido para o LinkedIn, de modo a parecer que você é um verdadeiro empresário tentando fazer conexões, o ChatGPT é ótimo para isso", diz Kelly Shortridge, uma especialista em cibersegurança e tecnóloga de produtos sênior principal na provedora de computação em nuvem Fastly.

Vários grupos de hackers tentam explorar o LinkedIn e outras plataformas de mídia social como ferramentas para conduzir campanhas de ciberespionagem. Mas criar perfis online falsos, porém com aparência legítima, e preenchê-los com posts e mensagens é um processo demorado.

Shortridge acredita que os atacantes podem usar ferramentas de IA como o ChatGPT para escrever conteúdo convincente, ao mesmo tempo em que têm a vantagem de ser menos trabalhoso do que fazer o trabalho manualmente.

"Muitas dessas campanhas de engenharia social requerem muito esforço, porque você precisa configurar esses perfis", diz ela, argumentando que as ferramentas de IA poderiam reduzir consideravelmente a barreira de entrada.

"Tenho certeza de que o ChatGPT poderia escrever postagens de liderança de pensamento muito convincentes", ela diz.

A natureza da inovação tecnológica significa que, sempre que algo novo surge, sempre haverá aqueles que tentarão explorá-lo para fins maliciosos. E mesmo com os meios mais inovadores de tentar prevenir abusos, a natureza sorrateira dos criminosos e golpistas cibernéticos significa que eles provavelmente encontrarão meios de contornar as proteções.

"Não há como eliminar completamente o abuso a zero. Nunca aconteceu com nenhum sistema", diz Shykevich, que espera que destacar possíveis problemas de cibersegurança signifique que haverá mais discussão sobre como evitar que os chatbots de IA sejam explorados para fins errantes."

"É uma ótima tecnologia - mas, como sempre acontece com novas tecnologias, há riscos e é importante discuti-los para estar ciente. E eu acredito que quanto mais discutirmos, mais provável é que a OpenAI e empresas similares invistam mais na redução de abusos," ele sugere.

Também há vantagens para a cibersegurança em chatbots de IA, como o ChatGPT. Eles são particularmente bons em lidar com e entender código, então há potencial para usá-los para ajudar os defensores a entender malware. Como eles também podem escrever código, é possível que, ao auxiliar os desenvolvedores em seus projetos, essas ferramentas possam ajudar a criar código melhor e mais seguro de forma mais rápida, o que é bom para todos.

Como escreveu Jeff Pollard, analista principal da Forrester, recentemente, o ChatGPT pode proporcionar uma redução massiva no tempo necessário para produzir relatórios de incidentes de segurança.

"Fazer isso mais rápido significa mais tempo fazendo as outras coisas - testando, avaliando, investigando e respondendo, tudo isso ajuda as equipes de segurança a escalar", ele observa, acrescentando que um robô poderia sugerir ações recomendadas com base nos dados disponíveis.

"Se a orquestração, automação e resposta de segurança forem configuradas corretamente para acelerar a recuperação de artefatos, isso poderá acelerar a detecção e resposta e ajudar os analistas do centro de operações de segurança a tomar decisões melhores", ele diz.

Portanto, os chatbots podem tornar a vida mais difícil para alguns na área de cibersegurança, mas também podem ter pontos positivos.

O ZDNET entrou em contato com a OpenAI para comentar, mas não recebeu uma resposta. No entanto, o ZDNET perguntou ao ChatGPT quais regras existem para evitar seu uso indevido para phishing - e obtivemos o seguinte texto.

"É importante observar que, embora modelos de linguagem de IA como o ChatGPT possam gerar texto semelhante a e-mails de phishing, eles não podem executar ações maliciosas por conta própria e requerem a intenção e ações de um usuário para causar danos. Por isso, é importante que os usuários tenham cautela e bom senso ao utilizar a tecnologia de IA e estejam vigilantes na proteção contra atividades de phishing e outras atividades maliciosas."