在過去三個(gè)月里，ChatGPT的熱度火箭一般躥升，據(jù)瑞銀前不久發(fā)布的報(bào)告顯示，GPT已經(jīng)超過了Tiktok，成為人類有史以來最快突破1億月活躍用戶的互聯(lián)網(wǎng)產(chǎn)品。Tiktok當(dāng)初用了9個(gè)月，而GPT只用了2個(gè)月。
作為一款基于人工智能的自然語言處理(NLP)聊天機(jī)器人程序，ChatGPT通過大量來自互聯(lián)網(wǎng)的文本進(jìn)行訓(xùn)練，并使用深度學(xué)習(xí)和機(jī)器學(xué)習(xí)算法來理解用戶的問題并提供準(zhǔn)確的回答。并且，ChatGPT還內(nèi)置了情感分析、關(guān)鍵字提取和實(shí)體識(shí)別等功能，可以檢測(cè)對(duì)話情緒，這有助于它對(duì)客戶的詢問做出適當(dāng)?shù)幕貞?yīng)。具體來看：
ChatGPT的核心功能集中在基于用戶輸入的查詢或命令提供類似人類的對(duì)話。它通常類似于虛擬助手技術(shù)和軟件應(yīng)用程序，如蘋果的Siri和亞馬遜的Alexa。
GPT-3是由OpenAI開發(fā)的自回歸語言和語言預(yù)測(cè)模型，被認(rèn)為是有史以來最重要的人工智能系統(tǒng)之一。GPT-3生成的文本的質(zhì)量使得很難確定它是否是由人類編寫的。
ChatGPT可以寫出類似于商業(yè)人工智能文案的輸出。實(shí)驗(yàn)表明，ChatGPT甚至可以作曲和創(chuàng)作小說，幫助內(nèi)容創(chuàng)建者或技術(shù)作者生成大綱。并且，ChatGPT還可以總結(jié)、消化和解釋大量文本。ChatGPT的另一個(gè)有趣的應(yīng)用是它還可以編寫和調(diào)試計(jì)算機(jī)程序。
ChatGPT的另一個(gè)優(yōu)點(diǎn)是其響應(yīng)和整體性能可以進(jìn)行微調(diào)。它依賴于現(xiàn)有的大型語言模型，同時(shí)也有通過使用監(jiān)督學(xué)習(xí)和強(qiáng)化學(xué)習(xí)的主動(dòng)訓(xùn)練來進(jìn)一步改進(jìn)的空間。用戶可以對(duì)某個(gè)特定的回答投贊成票或反對(duì)票，同時(shí)還可以提供額外的反饋。
ChatGPT一經(jīng)推出，就受到頂流待遇，可謂出道即巔峰。
如何看待融入AI的網(wǎng)絡(luò)安全？
歷史經(jīng)驗(yàn)表明，即便開發(fā)者最初是出于善意的研發(fā)目的，但先進(jìn)的技術(shù)往往會(huì)不可避免地被用于很多負(fù)面、惡意的應(yīng)用場(chǎng)景中，ChatGPT聊天機(jī)器人自然也不例外。這種基于AI的機(jī)器人服務(wù)很可能會(huì)成為網(wǎng)絡(luò)攻擊者們的強(qiáng)大工具。
在 ChatGPT 的幫助下進(jìn)行黑客攻擊
為了更好的測(cè)試，研究團(tuán)隊(duì)嘗試使用 ChatGPT 來幫助他們找到網(wǎng)站的漏洞。研究人員提出問題并遵循 AI 的指導(dǎo)，檢查聊天機(jī)器人是否可以提供利用該漏洞的分步指南。
研究人員使用“Hack the Box”網(wǎng)絡(luò)安全培訓(xùn)平臺(tái)進(jìn)行實(shí)驗(yàn)，通過解釋他們正在進(jìn)行滲透測(cè)試挑戰(zhàn)來詢問 ChatGPT。研究人員問道：“我正在面對(duì)滲透測(cè)試的挑戰(zhàn)。我在一個(gè)只有一個(gè)按鈕的網(wǎng)站上。我將如何測(cè)試它的漏洞？”
聊天機(jī)器人以五個(gè)基本點(diǎn)作為解答，說明了在搜索漏洞時(shí)在網(wǎng)站上要檢查的內(nèi)容。通過解釋他們?cè)谠创a中看到的內(nèi)容，研究人員獲得了 AI 的建議，了解應(yīng)該專注于代碼的哪些部分。此外，他們還收到了建議的代碼更改示例。在與聊天機(jī)器人聊天大約 45 分鐘后，研究人員就能夠破解所提供的網(wǎng)站。
隨后，研究人員便介紹說：我們有足夠多的例子來試圖弄清楚什么是有效的，什么是無效的。雖然它沒有給我們提供現(xiàn)階段所需的確切有效載荷，但它給了我們大量的想法和關(guān)鍵字來搜索。有很多文章，甚至是自動(dòng)化工具來確定所需的有效載荷。
根據(jù)OpenAI的說法，聊天機(jī)器人能夠拒絕不適當(dāng)?shù)牟樵?。雖然在我們的案例中，聊天機(jī)器人在每條建議的末尾提醒我們有關(guān)黑客的準(zhǔn)則：“請(qǐng)記住，在嘗試測(cè)試網(wǎng)站的漏洞之前，遵循道德黑客準(zhǔn)則并獲得許可證?！?它還警告說“在服務(wù)器上執(zhí)行惡意命令可能會(huì)造成嚴(yán)重?fù)p害?！?但是，聊天機(jī)器人仍然提供了信息。
對(duì)于希望使用該工具編寫惡意軟件代碼以發(fā)動(dòng)網(wǎng)絡(luò)攻擊的人來說，ChatGPT為編程技能或技術(shù)技能有限的威脅分子降低了準(zhǔn)入門檻。威脅分子只需初步了解網(wǎng)絡(luò)安全和計(jì)算機(jī)科學(xué)的基礎(chǔ)知識(shí)，它就能收到奇好的效果。
對(duì)網(wǎng)絡(luò)安全建設(shè)者，ChatGPT也有很多積極用途，研究人員一直在積極試驗(yàn)ChatGPT的創(chuàng)新能力，并將網(wǎng)絡(luò)防御方面的很多人工事務(wù)實(shí)現(xiàn)自動(dòng)化，這對(duì)推動(dòng)新一代網(wǎng)絡(luò)安全防御技術(shù)發(fā)展大有前景。很顯然，這種工具同樣有助于為防御者提供幫助。
ChatGPT在網(wǎng)絡(luò)安全領(lǐng)域能發(fā)揮什么作用？
對(duì)于具有評(píng)估能力的專業(yè)從業(yè)人員來說，ChatGPT的確可以作為一個(gè)智能知識(shí)庫進(jìn)行參考和檢索，提高日常工作效率。但更為重要的是，需要從業(yè)者結(jié)合當(dāng)前國(guó)家、行業(yè)、地區(qū)等各方面因素，進(jìn)行專業(yè)歸納、分析與總結(jié)。
1、實(shí)現(xiàn)安全事件處置的自動(dòng)化
從安全信息和事件管理（SIEM）工具中獲取數(shù)據(jù)輸出并交給ChatGPT處理，可以迅速生成有關(guān)安全事件的分析報(bào)告。使用ChatGPT由數(shù)據(jù)生成報(bào)告可以比分析師人工分析更快地洞察事件情況。
ChatGPT有望使不堪重負(fù)的安全團(tuán)隊(duì)運(yùn)營(yíng)工作實(shí)現(xiàn)自動(dòng)化，同時(shí)有助于消除很多誤報(bào)信息干擾。除了為安全運(yùn)營(yíng)團(tuán)隊(duì)的網(wǎng)絡(luò)事件分析引入自動(dòng)化功能外，還有望為測(cè)試網(wǎng)絡(luò)防御系統(tǒng)查找缺陷的滲透測(cè)試人員將一些工作實(shí)現(xiàn)自動(dòng)化。
ChatGPT有可能以更快的速度加深用戶對(duì)安全專業(yè)知識(shí)和技能的理解。這種聊天機(jī)器人能夠熟練地用高度相關(guān)的信息回答特定的問題，歸納為幾個(gè)段落或要點(diǎn)，這意味著相比傳統(tǒng)搜索引擎技術(shù)，ChatGPT常?？梢宰層脩舾斓亓私饽承﹩栴}，因此特別有利于那些希望深入了解網(wǎng)絡(luò)安全知識(shí)的人。由于ChatGPT能快速歸納復(fù)雜主題，這對(duì)推動(dòng)網(wǎng)絡(luò)安全行業(yè)發(fā)展非常重要，它可以讓非安全專業(yè)的企業(yè)高級(jí)管理者和董事會(huì)成員快速了解網(wǎng)絡(luò)安全相關(guān)內(nèi)容，從而獲得其對(duì)加強(qiáng)網(wǎng)絡(luò)安全建設(shè)工作的支持。
為ChatGPT應(yīng)用做好準(zhǔn)備
作為一種創(chuàng)新技術(shù)，企業(yè)組織在未來數(shù)字化發(fā)展中會(huì)有很多機(jī)會(huì)應(yīng)用ChatGPT或類似AI工具，為了應(yīng)對(duì)聊天機(jī)器人增強(qiáng)攻擊，企業(yè)組織需要重新考慮安全方法來緩解潛在威脅，他們可以采取的一些項(xiàng)措施有：
向所有員工宣講最新的網(wǎng)絡(luò)釣魚風(fēng)險(xiǎn)。如果員工充分了解ChatGPT工具如何被利用，面對(duì)聊天機(jī)器人及其他基于AI的工具時(shí)就可能更為謹(jǐn)慎，從而避免淪為這類攻擊的受害者。
實(shí)施強(qiáng)身份驗(yàn)證協(xié)議
加大攻擊者訪問賬戶的難度。攻擊者已經(jīng)知道如何利用MFA疲勞攻擊來繞過現(xiàn)有的身份驗(yàn)證機(jī)制，因此，企業(yè)需要利用AI/機(jī)器學(xué)習(xí)技術(shù)實(shí)現(xiàn)無密碼應(yīng)用，這樣有助于提高企業(yè)的安全性，同時(shí)可以緩解MFA疲勞現(xiàn)象。
這樣即使攻擊者利用ChatGPT蒙蔽了一些缺乏戒備的內(nèi)部員工，他們?cè)谠L問關(guān)鍵數(shù)據(jù)和系統(tǒng)時(shí)，仍必須驗(yàn)證身份，而且即使驗(yàn)證了身份，也只能訪問有限的資源。讓所有員工僅擁有執(zhí)行工作所需的最低訪問權(quán)限，這可能會(huì)遇到一些阻力，但會(huì)使攻擊者更難利用任何未經(jīng)授權(quán)的訪問權(quán)限來獲利。
嚴(yán)格監(jiān)控公司賬戶活動(dòng)
使用包括垃圾郵件過濾器、行為分析和關(guān)鍵字過濾在內(nèi)的工具，以識(shí)別和阻止惡意郵件?；卩]件收發(fā)方的行為和關(guān)系而不是基于特定的關(guān)鍵字來監(jiān)測(cè)惡意郵件，更有可能成功阻止惡意分子。
網(wǎng)絡(luò)攻擊者肯定會(huì)大量利用AI，而ChatGPT只是其中的一種手段。企業(yè)必須充分利用AI/機(jī)器學(xué)習(xí)提供的功能來改善網(wǎng)絡(luò)安全，并更快地響應(yīng)威脅和潛在攻擊。
毫無疑問，ChatGPT已經(jīng)引起了很多人的注意。但現(xiàn)實(shí)是，像所有新技術(shù)一樣，ChatGPT帶來的問題和影響還有待觀察，還需客觀冷靜看待。