С момента своего запуска в прошлом году ChatGPT впечатлил способностью писать статьи, стихи, сценарии фильмов, книги и многое другое. Инструмент на базе ИИ может даже генерировать функциональный код для создания программ. Хотя большинство разработчиков будут использовать эту функцию в совершенно безобидных целях, в новом отчете говорится, что злоумышленники также могут использовать ее для создания вредоносных программ, несмотря на меры безопасности OpenAI.
Исследователь кибербезопасности утверждает, что он использовал ChatGPT для разработки эксплойта нулевого дня, который может украсть данные со взломанного устройства. При этом вредоносное ПО избежало обнаружения на VirusTotal.
Аарон Малгрю из Forcepoint сообщил, что в самом начале процесса создания вредоносного ПО он решил не писать код самостоятельно. Также он решил использовать только передовые методы, которые обычно используются изощренными субъектами угроз, такими как государства-изгои.
Малгрю называет себя «новичком» в разработке вредоносных программ. Для реализации плана он решил использовать язык программирования Go, который обеспечивает простоту разработки и возможность вручную отлаживать код при необходимости. Он также использовал стеганографию, которая скрывает секретные данные в обычном файле или сообщении, чтобы избежать обнаружения.
Малгрю начал с того, что напрямую попросил ChatGPT разработать вредоносное ПО, но чат-бот наотрез отказался выполнять эту задачу по этическим соображениям. Затем он решил проявить творческий подход и попросил инструмент ИИ сгенерировать небольшие фрагменты вспомогательного кода, прежде чем вручную собрать весь исполняемый файл.
Такой подход сработал, и ChatGPT создал спорный код, который обошел обнаружение всеми антивирусными приложениями на VirusTotal. Однако произвести обфускацию (привести к виду, сохраняющему функциональность, но затрудняющему анализ) кода, чтобы избежать обнаружения, оказалось проблематично – ChatGPT признает такие запросы неэтичными и отказывается их выполнять.
Тем не менее после нескольких попыток Малгрю смог выполнить и эту задачу. После загрузки на VirusTotal первой версии вредоносного ПО пять поставщиков пометили его как вредоносное. После нескольких корректировок код был успешно запутан, и ни один из поставщиков не идентифицировал его как вредоносное ПО.
Аарон Малгрю говорит, что весь процесс создания и отладки вредоносного ПО занял у него «всего несколько часов». Он считает, что без чат-бота команде из 5-10 разработчиков потребовалось бы несколько недель, чтобы сделать такую же работу.
Хотя Малгрю создал вредоносное ПО в исследовательских целях, он сказал, что теоретическая атака нулевого дня с использованием такого инструмента может быть нацелена на важных лиц для кражи важных документов на диске C.
Источник: techspot