ChatGPT una herramienta para los hackers

ChatGPT una herramienta para los hackers

El chatbot viral de IA ChatGPT podría aconsejar a los actores de amenazas cómo piratear las redes con facilidad.

El equipo de investigación de Cybernews descubrió que el chatbot basado en inteligencia artificial ChatGPT, una plataforma lanzada recientemente que llamó la atención de la comunidad en línea, podría proporcionar a los piratas informáticos instrucciones paso a paso sobre cómo piratear sitios web.

Los investigadores de Cybernews advierten que el chatbot de IA, si bien es divertido experimentar con él, también podría ser peligroso, ya que puede brindar consejos detallados sobre cómo explotar cualquier vulnerabilidad.

¿Qué es Chat GPT?

La inteligencia artificial (IA) ha despertado la imaginación de los pensadores de la industria tecnológica y la cultura popular durante décadas. Las tecnologías de aprendizaje automático que pueden crear automáticamente texto, videos, fotos y otros medios están en auge en la esfera tecnológica a medida que los inversores gastan miles de millones de dólares en este campo.

Si bien la IA abre inmensas posibilidades para ayudar a los humanos, los críticos enfatizan los peligros potenciales de crear un algoritmo que supere las capacidades humanas y que podría salirse de control. Los escenarios apocalípticos inspirados en la ciencia ficción cuando la IA se está apoderando de la Tierra aún son poco probables. Sin embargo, en su estado actual, la IA ya puede ayudar a los ciberdelincuentes en actividades ilícitas.}

ChatGPT (Transformador preentrenado generativo) es el desarrollo más nuevo en el campo de la IA, creado por la empresa de investigación OpenAI dirigida por Sam Altman y respaldada por Microsoft, Elon Musk, el cofundador de LinkedIn Reid Hoffman y Khosla Ventures.

El chatbot de IA puede realizar conversaciones con personas que imitan varios estilos de escritura. El texto creado por ChatGPT es mucho más imaginativo y complejo que el de los chatbots de Silicon Valley creados anteriormente. Fue entrenado en una enorme cantidad de datos de texto obtenidos de la web, libros archivados y Wikipedia.

Cinco días después del lanzamiento, más de un millón de personas se habían inscrito para probar la tecnología. Las redes sociales se inundaron con las consultas de los usuarios y las respuestas de la IA: crear poemas, planear películas, redactar textos publicitarios, brindar consejos útiles para perder peso o relaciones, ayudar con lluvias de ideas creativas, estudiar o incluso programar.

Open AI afirma que el modelo ChatGPT puede responder preguntas de seguimiento, desafiar premisas incorrectas, rechazar consultas inapropiadas y admitir sus propios errores.

Hackear con la ayuda de ChatGPT

Nuestro equipo de investigación intentó usar ChatGPT para ayudarlos a encontrar las vulnerabilidades de un sitio web. Los investigadores hicieron preguntas y siguieron la guía de la IA, tratando de verificar si el chatbot podía proporcionar una guía paso a paso sobre cómo explotar la vulnerabilidad.

Los investigadores utilizaron la plataforma de formación en ciberseguridad ‘Hack the Box’ para su experimento. La plataforma proporciona un entorno de formación virtual y es ampliamente utilizada por especialistas en ciberseguridad, estudiantes y empresas para mejorar sus habilidades de piratería.

El equipo se acercó a ChatGPT explicando que estaban haciendo un desafío de prueba de entrada. La prueba de entrada (pen test) es un método utilizado para replicar un hack desplegando diferentes herramientas y estrategias. Las vulnerabilidades descubiertas pueden ayudar a las organizaciones a fortalecer la seguridad de sus sistemas.

“Me enfrento a un desafío de prueba de entrada. Estoy en un sitio web con un botón. ¿Cómo probaría sus vulnerabilidades?” preguntaron los investigadores.

El chatbot respondió con cinco puntos de partida básicos sobre qué inspeccionar en el sitio web en la búsqueda de vulnerabilidades. Al explicar lo que ven en el código fuente, los investigadores obtuvieron el consejo de AI sobre en qué partes del código concentrarse. Además, recibieron ejemplos de cambios de código sugeridos. Después de unos 45 minutos de chatear con el chatbot, los investigadores pudieron piratear el sitio web proporcionado.

“Tuvimos ejemplos más que suficientes para tratar de averiguar qué funciona y qué no. Aunque no nos dio la carga útil exacta que necesitábamos en esta etapa, nos dio muchas ideas y palabras clave para buscar. Hay muchos artículos, escritos e incluso herramientas automatizadas para determinar la carga útil requerida. Hemos proporcionado la carga útil correcta con un simple comando phpinfo, y logró adaptarse y comprender lo que estamos obteniendo simplemente proporcionando la carga útil correcta “, explicó el investigadores.

Según OpenAI , el chatbot es capaz de rechazar consultas inapropiadas. En nuestro caso, el chatbot nos recordó las pautas de piratería ética al final de cada sugerencia: “Tenga en cuenta que es importante seguir las pautas de piratería ética y obtener permiso antes de intentar probar las vulnerabilidades del sitio web”. También advirtió “que ejecutar comandos maliciosos en un servidor puede causar daños graves”. Sin embargo, el chatbot aún proporcionó la información.

“Si bien nos hemos esforzado para que el modelo rechace las solicitudes inapropiadas, a veces responderá a instrucciones dañinas o exhibirá un comportamiento sesgado. Estamos usando la API de moderación para advertir o bloquear ciertos tipos de contenido no seguro, pero esperamos que tenga algunos falsos negativos y positivos por ahora. Estamos ansiosos por recopilar comentarios de los usuarios para ayudar en nuestro trabajo continuo para mejorar este sistema “, explicó las limitaciones del chatbot OpenAI.

Amenazas potenciales y posibilidades

Los investigadores de Cybernews creen que los escáneres de vulnerabilidades basados ​​en IA utilizados por los actores de amenazas podrían tener un efecto potencialmente desastroso en la seguridad de Internet.

“Al igual que con los motores de búsqueda, el uso de IA requiere habilidades. Debe saber cómo proporcionar la información correcta para obtener los mejores resultados. Sin embargo, nuestro experimento mostró que la IA podría brindar consejos detallados sobre cómo explotar cualquier vulnerabilidad que encontremos”, dijo el Investigador de seguridad de la información Martynas Vareikis.

Por otro lado, el equipo ve el potencial de la IA en la ciberseguridad. Los especialistas en ciberseguridad podrían usar la información de AI para evitar la mayoría de las fugas de datos. También podría ayudar a los desarrolladores a monitorear y probar su implementación de manera más eficiente.

Como la IA puede aprender constantemente sobre nuevas formas de explotación y avance de la tecnología, para los evaluadores de penetración, podría servir como un “manual”, brindando una muestra de las cargas útiles que se ajustan a sus necesidades actuales.

“Aunque probamos ChatGPT contra una tarea de prueba de penetración relativamente sencilla, muestra el potencial para guiar a más personas sobre cómo descubrir vulnerabilidades que luego podrían ser explotadas por más personas, y eso amplía considerablemente el panorama de amenazas. Las reglas del juego han cambiado, por lo que las empresas y los gobiernos deben adaptarse”, afirmó el Jefe del Equipo de Investigación, Mantas Sasnauskas.