上周ChatGPT-4的发布震惊了全球，同时也引发了网络安全行业的“地震”。一方面，黑客开发和部署恶意软件、勒索软件比以往任何时候都容易。另一方面，网络安全业界也将产生一系列新的基于人工智能技术的防御用例。
人工智能技术的“奇点爆炸”对数据安全和网络安全意味着什么？最近一些世界顶级网络安全分析师给出了八个预测，内容如下：
- ChatGPT将降低网络犯罪的准入门槛。
- 制作以假乱真的网络钓鱼电子邮件将变得更加容易。
- 企业将需要具备人工智能知识的安全专业人员。
- 企业将需要验证生成式AI内容输出。
- 生成式人工智能将扩大现有威胁的规模。
- 企业需要制订人工智能安全规则。
- 人工智能将增强人为因素。
- 原有威胁不会改变。
1.ChatGPT将降低网络犯罪的门槛
ChatGPT降低了网络犯罪的进入门槛，使传统上需要高技能人才和大量资金的技术如今任何能够上网的人都可以使用。技能较低的攻击者（脚本小子）现在有办法批量生成恶意代码。
不法分子可以冒充营销团队要求ChatGPT编写代码，向数百人生成短信和邮件，但这些“营销内容”中包含恶意链接。代码本身也许不是恶意的，但可用于传递危险内容。
与任何新兴技术或应用一样，各有利弊。好人坏人都会使用ChatGPT，网络安全社区必须对人工智能技术的利用方式保持警惕。
——Steve Grobman，McAfee高级副总裁兼首席技术官
2.制作以假乱真的网络钓鱼电子邮件将变得更加容易
生成式人工智能是一种工具，可以用于好的或邪恶的目的。已经出现了许多危险的用例，例如黑客和好奇的研究人员制作出以假乱真的网络钓鱼电子邮件，生成基线恶意代码和脚本以发起潜在攻击，或者只是用来更快更好地查询情报。
——贾斯汀·格雷斯（Justin Greis），麦肯锡公司合伙人
3.企业需要具备人工智能知识的安全专业人员
ChatGPT已经风靡全球，但对网络安全领域的影响仍处于起步阶段。它标志着攻防两端采用AI/ML的新时代的开始，与其说是因为ChatGPT可以做什么，不如说是ChatGPT使AI/ML成为公众关注的焦点。
一方面，ChatGPT有可能被用来使社会工程民主化，为没有经验的威胁行为者提供新发现的能力，以快速轻松地生成诈骗剧本，大规模部署复杂的网络钓鱼攻击。
另一方面，在开发创新的攻击或防御技术时，ChatGPT的能力要差得多。这不是ChatGPT的问题，因为它（目前）缺乏这方面的训练。
网络安全业界更深入的话题其实不是ChatGPT，而是我们今天是否有具备人工智能知识的网络安全专业人员，了解如何开发，使用和解释AI/ML技术。
——David Hoelzer，SANS研究所研究员
4.企业将需要验证生成式AI输出的内容
如果安全人员不验证其输出内容，ChatGPT可能导致比它解决的问题更多的问题。例如，它将不可避免地错过漏洞，并给公司一种虚假的安全感。
同样，ChatGPT也会错过需要检测的网络钓鱼攻击，甚至提供不正确或过时的威胁情报。
因此，当我们越来越依赖ChatGPT，就越容易发生ChatGPT漏掉攻击和漏洞的事件，这会导致使用ChatGPT的企业发生数据泄露。
——Avivah Litan，Gartner分析师
5.生成式AI将升级现有威胁
像许多新技术一样，我认为ChatGPT不会引入新的威胁，我认为它将对安全环境产生的最大影响是升级、加速和增强现有威胁，特别是网络钓鱼。ChatGPT可以为攻击者提供语法正确的网络钓鱼电子邮件。
虽然ChatGPT仍然是一种离线服务，但攻击者结合互联网接入、自动化和人工智能来开发持续高级攻击只是时间问题。
网络钓鱼仍然是网络安全漏洞的主要原因之一。自然语言机器人使用分布鱼叉式网络钓鱼工具同时对数百名用户进行大规模钓鱼将使安全团队疲于应付。
——Rob Hughes，RSA首席信息安全官
6.企业需要制订人工智能安全规则
“随着越来越多的企业开始探索ChatGPT的用例，安全性将成为首要考虑因素。以下是2023年企业需要未雨绸缪的一些措施：
- 设定如何在企业环境中使用ChatGPT和其他类似解决方案的规则。制定可接受的使用政策;定义员工可以使用的人工智能产品、用例和数据的“白名单”列表;并要求设立检查流程来验证人工智能生成内容的准确性。
- 建立内部流程，以审查与认知自动化解决方案使用相关的法规影响和演变，特别是对知识产权，个人数据以及包容性和多样性的管理。
- 实施技术网络控制，特别要注意测试代码的运营弹性和扫描恶意负载。其他控制包括但不限于：多因素身份验证和仅允许授权用户访问、部署数据丢失防护解决方案、确保工具生成的所有代码都经过标准审查并且不能直接复制到生产环境流程、配置Web过滤规则，在员工访问未经批准的人工智能解决方案时报警。
——Matt Miller，毕马威网络安全服务负责人
7.人工智能将放大人为因素
与大多数新技术一样，ChatGPT将成为攻防两端的资源，对手用它来侦察，而防御者用它来查找最佳实践和威胁情报。
虽然攻防两端的用例都在快速增长，但对于防御者而言，ChatGPT对于团队成员之间共享威胁情报以进行威胁搜寻，更新规则和防御模型很有帮助。总之，ChatGPT是人工智能增强和辅助技术，而不是取代威胁调查人员。
——Doug Cahill，ESG高级副总裁兼高级分析师
8.原有威胁不会改变
虽然ChatGPT是一个强大的语言生成模型，但这项技术不是一个独立的工具，不能独立运行。它依赖于用户输入，并受到训练数据的限制。
例如，模型生成的网络钓鱼文本仍然需要从电子邮件帐户发送并指向网站。这些都是可以用于分析和检测的传统指标。
尽管ChatGPT有能力编写漏洞和有效载荷，但测试表明并没有宣传得那样好。
ChatGPT并非专门针对（利用）漏洞设计的，ChatGPT对原有网络威胁的改变仍然有限，很容易用基于行为的安全工具检测ChatGPT生成的恶意软件。
——Candid Wuest，Acronis全球研究副总裁
声明：本文来自GoUpSec，版权归作者所有。文章内容仅代表作者独立观点，不代表GetTrust立场，转载目的在于传递更多信息。如有侵权，请联系删除。
相关推荐: 重要通知：DigiCert根证书将于2023年3月8日升级到SHA2签名算法
由于SHA1签名算法的根证书存在安全隐患，Mozilla决定在2025/4/15日取消对Digicert Baltimore CyberTrust Root的信任，2026/4/15取消对DigiCert Assured ID Root CA 、DigiCer…