З моменту свого запуску минулого року ChatGPT вразив здатністю писати статті, вірші, сценарії фільмів, книги та багато іншого. Інструмент на базі ШІ може навіть генерувати функціональний код для створення програм. Хоча більшість розробників будуть використовувати цю функцію в абсолютно нешкідливих цілях, у новому звіті йдеться про те, що зловмисники також можуть використовувати її для створення шкідливих програм, попри заходи безпеки OpenAI.
Дослідник кібербезпеки стверджує, що він використовував ChatGPT для розробки експлойту нульового дня, який може вкрасти дані зі зламаного пристрою. При цьому шкідливе програмне забезпечення уникло виявлення на VirusTotal.
Аарон Малгрю з Forcepoint повідомив, що на самому початку процесу створення шкідливого ПЗ він вирішив не писати код самостійно. Також він вирішив використати лише передові методи, які зазвичай використовуються витонченими суб’єктами загроз, такими як держави-ізгої. Малгрю називає себе «новачком» у розробці шкідливих програм.
Для реалізації плану він вирішив використовувати мову програмування Go, яка забезпечує простоту розробки та можливість вручну налагоджувати код за потреби. Він також використовував стеганографію, яка приховує секретні дані у звичайному файлі або повідомленні, щоб уникнути виявлення.
Малгрю почав з того, що безпосередньо попросив ChatGPT розробити шкідливе ПЗ, але чат-бот відмовився виконувати це завдання з етичних міркувань. Потім він вирішив проявити творчий підхід і попросив інструмент ШІ згенерувати невеликі фрагменти допоміжного коду, перш ніж вручну зібрати весь файл, що виконується.
Такий підхід спрацював, і ChatGPT створив спірний код, який обійшов виявлення всіма антивірусними програмами на VirusTotal. Однак зробити обфускацію (привести до вигляду, що зберігає функціональність, але утруднює аналіз) коду, щоб уникнути виявлення, виявилося проблематично – ChatGPT визнає такі запити неетичним і відмовляється їх виконувати.
Проте після кількох спроб Малгрю зміг виконати й це завдання. Після завантаження на VirusTotal першої версії зловмисного ПЗ п’ять постачальників позначили його як шкідливе. Після декількох коригувань код був успішно заплутаний, і жоден із постачальників не ідентифікував його як шкідливе програмне забезпечення.
Аарон Малгрю каже, що весь процес створення та налагодження шкідливого програмного забезпечення зайняв у нього «всього кілька годин». Він вважає, що без чат-бота команді з 5-10 розробників потрібно було б кілька тижнів, щоб зробити таку ж роботу.
Хоча Малгрю створив шкідливе програмне забезпечення у дослідницьких цілях, проте він сказав, що теоретична атака нульового дня з використанням такого інструменту може бути націлена на важливих осіб для крадіжки важливих документів на диску C.
Ютубер обманом змусив ChatGPT генерувати ключі Windows 95 – бот так і не зрозумів, що порушив закон
Джерело: techspot