روابط عمومی شرکت ایدکو (توزیع‌کننده‌ی محصولات کسپرسکی در ایران)؛ گرچه اصول فناوری یادگیری ماشین حدود نیم‌قرن پیش مطرح شد اما همین اواخر بود که توانست به طور گسترده اجرایی شود. با رشد قدرت رایانش، کامپیوترها یاد گرفتند ابتدا اجسام در تصاویر را از هم تمیز دهند و گیم  Go را بهتر از انسان‌ها بازی کنند. سپس توانستند بر اساس توصیفات متنی تصاویری کشیده و چتی منسجم را حفظ کنند. پیشرفت‌های علمی در سال‌های 2021 و 2022 برای همه قابل دسترسی بود. برای مثال شما می‌توانید در MidJourney عضو شوید و فرضاً فوراً کتاب‌های خود را به تصویر بکشید. و OpenAI نیز در نهایت از مدل زبان بزرگ [1]GPT-3 خود را از طریق ChatGPT در اختیار عموم مردم قرار داد. این بات در سایت  chat.openai.com–جایی که می‌توانید خودتان ببینید چطور یک مکالمه منسجم حفظ می‌شود- موجود است و در واقع مفاهیم علمی پیچیده را بهتر از بسیاری از معلمین توضیح می‌دهد. هچنین به طور هنرمندانه‌ای متون را به زبان‌های مختلف برمی‌گرداند و قابلیت‌های بسیار دیگری نیز دارد.

اگر ChatGPT را به موارد ضروری خرد کنیم، مدل زبان مذکور روی مجموعه عظیمی از متون آنلاین آموزش داده می‌شود که از آن می‌تواند به یاد بیاورد چه کلماتی، جملاتی و پاراگراف‌هایی بیشتر با هم ترکیب می‌شوند و چطور با هم ارتباط دارند. این مدل به کمک چندین ترفند فنی و راندهای اضافی آموزشی بویژه برای دیالوگ بهینه‌سازی می‌شود. از آنجایی که در اینترنت می‌توانید هر چیزی را به طور قطع پیدا کنید، این مدل فی‌الذات قادر است دیالوگ را عملاً در هر بستر و موضوعی پیش برده و حمایت کند. از فشن و مد گرفته تا تاریخ و هنر و برنامه‌ریزی و فیزیک کوانتوم! دانشمندان، ژورنالیست‌ها و صرفاً افراد مشتاق حتی برای ChatGPT کاربردهای دیگری نیز پیدا کرده‌اند. وبسایت Awesome ChatGPT  لیستی دارد از فرمان‌ها (عباراتی برای شروع مکالمه با بات) که اجازه‌ی سوئیچ کردن  ChatGPT را می‌دهد تا به سبک گاندالف یا هر شخصیت ادبی دیگری پاسخ دهد، با کد پیتون بنویسد، نامه‌های اداری و رزومه تولید کند و حتی از ترمینال لینوکس تقلید نماید. با این همه ChatGPT هنوز یک مدل زبان است پس همه موارد فوق چیزی بیش از ترکیب‌های کلمات نیستند- هیچ دلیل یا منطقی برای آن نیست. گاهی ChatGPT کاملاً چرند می‌گوید (مثل خیلی از انسان‌ها). برای مثال به مطالعات علمی که اصلاً وجود ندارد اشاره می‌کند. پس همیشه باید با محتوای ChatGPT با احتیاط برخورد کرد. با این حال حتی در فرم کنونی‌اش هم این بات را می‌توان در صنایع و پروسه‌های عملی به کار برد. در ذیل نمونه‌هایی را خواهیم داشت از این بات در بستر امنیت سایبری:

ایجاد بدافزار

مجرمان سایبری تازه‌کار در تالارهای گفت‌وگوی هکری زیرزمینی گزارش می‌دهند چطور برای ایجاد تروجان‌های جدید از  ChatGPT استفاده می‌کنند. این بات می‌تواند کد بنویسد پس اگر به طور مختصر عملکرد مطلوب خود را شرح دادید (ذخیره همه پسوردها در فایل X و ارسال از طریق  HTTP POST به سرور Y) می‌توانید بدون داشتن مهارت برنامه‌نویسی (حتی ذره‌ای) یک سارق اطلاعات داده داشته باشید. با این حال کاربران صادق چیزی برای ترسیدن ندارند. اگر کد نوشته‌شده توسط بات دارد استفاده می‌شود، راهکارهای امنیتی آن را طوری که انگار بدافزار ساخت دست انسان باشد با سرعت و به طور مؤثری شناسایی و خنثی می‌کنند. افزون بر این، اگر چنین کدی توسط برنامه‌نویس مجربی چک نشود، بدافزار احتمالاً حاوی خطاهایی جزئی و نواقص منطقی خواهد شد که این از کارا بودنش می‌کاهد. دست کم برای الان، بات‌ها فقط یارای رقابت با ویروس‌نویسان تازه‌کار را دارند.

تحلیل بدافزار

وقتی تحلیلگران InfoSec اپ‌های جدید مشکوک را بررسی می‌کنند، شبه‌کد یا کد ماشین را مهندسی معکوس می‌کنند و سعی دارند از ساز و کار آن سر دربیاورند. گرچه این کار می‌تواند تماماً به ChatGPT محول شود اما این ربات چت همین الانش هم قادر است با سرعت وظیفه‌ی یک تکه کد خاص را توضیح دهد. همکار ما ایوان کیاتکوفسکی برای IDA Pro  پلاگینی توسعه داده که دقیقاً همین کار را انجام می‌دهد. این مدل زبان در بنیادی‌ترین بخش‌های سازنده‌اش یک ChatGPT واقعی نیست بلکه پسرعمویش  davinci-003 است. اما در نظر داشته باشید که این یک تفاوت تماماً فنی است. برخی‌اوقات این پلاگین کار نمی‌کند یا خروجی‌اش افتضاح است اما برای آن دسته از مواردی که خودکار نام‌های قانونی را برای کارکردها معین می‌کند و الگوریتم‌های رمزنگاری را در کد و پارامترهایشان شناسایی می‌نماید داشتنش در کیت‌بگ خالی از لطف نخواهد بود. این در شرایط SOC خودش را نشان می‌دهد، جایی که تحلیلگران دائماً باید حداقل زمان را به هر رخداد اختصاص دهند، بنابراین هر ابزاری برای سرعت بخشیدن به فرآیند مورد استقبال قرار می‌گیرد.

جستجوی آسیب‌پذیری

سویه‌ی رویکرد فوق سرچ خودکار است برای کد آسیب‌پذیر. این چت‌بات شبه‌کدِ اپِ دی‌کامپایل‌شده را می‌خواند و جاهایی که ممکن است حاوی آسیب‌پذیری باشد را شناسایی می‌کند. افزون بر این، بات کد پیتون را که برای اکسپلویت آسیب‌پذیری (poc) طراحی شده ارائه می‌دهد. مطمئناً این بات می‌تواند هر نوع اشتباهی بکند (هم در بخش سرچ آسیب‌پذیری‌ها و هم نوشتن کد poc) اما حتی در فرم کنونی‌اش هم این ابزار می‌تواند هم توسط مهاجمین هم مدافعین استفاده گردد.

مشاوره امنیتی

از آنجایی که ChatGPT می‌داند مردم در فضای انلاین در مورد امنیت سایبری چه می‌گویند، توصیه‌اش برای این بستر متقاعدکننده است. اما در مورد توصیه‌ی هر چت‌باتی هرگز نخواهید دانست دقیقاً از کجا آمده.

فیشینگ و دستکاری ایمیل سازمانی

متون مجاب‌کننده نقطه قوت GPT-3 و ChatGPT هستند پس حملات خودکار اسپیر فیشینگ که از چت‌بات‌ها استفاده می‌کنند شاید همین الان هم دارند اتفاق می‌افتند. مشکل اصلی در مورد ایمیل‌های فیشینگ عمده این است که به نظر درست نمی‌آیند و کلی متن هست که ربطی به دریافت‌کننده ندارد. در مورد اسپیر فیشینگ: وقتی مجرم سایبری ایمیلی را به قربانی واحد می‌فرستند بسیار هزینه‌بردارتر است. از این رو فقط برای حملات هدف‌دار به کار می‌رود. ChatGPT طوری تنظیم‌ شده که به شدت تعادل قدرتی را تغییر دهد زیرا این به مهاجمین اجازه می‌دهد تا در مقایس صنعتی دست به تولید ایمیل‌های مجاب‌کننده وشخصی‌سازی‌شده بزنند. با این وجود برای اینکه ایمیلی همه اجزای لازم را داشته باشد چت‌بات اید دستورالعمل‌های جزئی‌ای را در اختیار داشته باشد.

اما حملات اصلی فیشینگ معمولاً شامل یک سری ایمیل‌ها می‌شود که هر کدام به تدریج اعتماد قربانی را جلب می‌کنند. بنابراین برای ایمیل های دوم، سوم و nامین، ChatGPT واقعاً در وقت مجرمان سایبری صرفه جویی می‌کند. از آنجایی که ربات چت زمینه مکالمه را به خاطر می‌آورد، ایمیل های بعدی می‌توانند به زیبایی از یک دستور بسیار کوتاه و ساده ساخته شوند.

علاوه بر این، پاسخ قربانی می‌تواند براحتی به مدل داده شود و در چند ثانیه یک پیگیری قانع کننده ایجاد کند. از جمله ابزارهایی که مهاجمین می‌توانند استفاده کنند، مکاتبات سبک‌مند است. با توجه به نمونه کوچکی از یک سبک خاص، جعبه گفتگو به راحتی می‌تواند آن را در پیام‌های بعدی اعمال کند. این امکان ایجاد ایمیل‌های جعلی قانع‌کننده ظاهراً از یک کارمند به کارمند دیگر را فراهم می‌کند. متأسفانه، این بدان معنی است که تعداد حملات فیشینگ موفقیت آمیز افزایش خواهد یافت. و چت بات در ایمیل، شبکه‌های اجتماعی و پیام رسان‌ها به همان اندازه قانع کننده خواهد بود.

چگونه مبارزه کنیم؟

کارشناسان تحلیل محتوا به طور فعال در حال توسعه ابزارهایی هستند که متون چت بات را شناسایی می‌کنند. زمان نشان خواهد داد که این فیلترها چقدر موثر خواهند بود. اما در حال حاضر، ما فقط می‌توانیم دو نکته استاندارد خود (آموزش هوشیاری و آگاهی از امنیت سایبری) را به اضافه یک نکته جدید توصیه کنیم. یاد بگیرید که چگونه متون تولید شده توسط ربات را شناسایی کنید. ویژگی‌های ریاضی برای چشم قابل تشخیص نیست، اما ویژگی‌های کوچک سبکی و ناهماهنگی‌های کوچک هنوز ربات‌ها را از بین می‌برد. این بازی را بررسی کنید تا ببینید می‌توانید تفاوت بین متن نوشته شده توسط انسان و ماشین را تشخیص دهید یا نه.

[1] Generative Pretrained Transformer 3، ترسنفورمر تولیدگر از پیش آموزش دیده به اختصار (GPT-3) یک مدل زبانی خودگرا است که از یادگیری عمیق برای تولید متنی شبیه انسان استفاده می‌کند.

منبع: کسپرسکی آنلاین (ایدکو)

کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.