AI智能潜在威胁，黑客利用 ChatGPT轻松入侵网络
2023-01-10 10:29:42   来源：信息网络安全杂志   评论：0 点击：

　　近日，有研究团队发现，基于 AI 的聊天机器人 ChatGPT引起了在线社区的注意，因为它可以为黑客提供有关如何入侵网站的分步说明。

　　研究人员提醒道，人工智能聊天机器人虽然很有趣，但也存在风险，因为它能够就任何漏洞提供详细建议。

　　什么是聊天 GPT？

　　几十年来，人工智能 (AI) 一直在激发科技行业的想象力。随着投资者在该领域投入数十亿美元，自动创建文本、视频、照片及其他媒体类机器学习技术在科技领域蓬勃发展。

　　虽然人工智能为帮助人类提供了巨大的可能性，但也有抨击者强调，创建一种超越人类能力并可能失控的算法会存在潜在的危险。“当 AI 接管地球时，就是世界末日”，这种想法多少有点杞人忧天，但是，在目前的状态下不可否认的是，人工智能已经可以协助网络犯罪分子进行非法活动。

　　ChatGPT是 AI 领域的最新发展，由 Sam Altman 领导的研究公司 OpenAI 创建，并得到 Microsoft、Elon Musk、LinkedIn 联合创始人 Reid Hoffman 和 Khosla Ventures 的支持。

　　人工智能聊天机器人可以与各种风格的人进行对话。ChatGPT 创建的文本远比之前构建的硅谷聊天机器人更具想象力和复杂性，它是根据从网络、存档书籍和维基百科获得的大量文本数据进行训练的。

　　在推出后的5天内，已有超过一百万人注册测试该技术。社交媒体上充斥着用户的查询和 AI 的回应，包括创作诗歌、策划电影、撰写文案、提供减肥和人际关系的技巧等，帮助进行创造性的头脑风暴、学习，甚至编程。

　　在 ChatGPT 的帮助下进行黑客攻击

　　为了更好地测试，研究团队尝试使用 ChatGPT 来帮助他们找到网站的漏洞。研究人员提出问题并遵循 AI 的指导，检查聊天机器人是否可以提供利用该漏洞的分步指南。

　　研究人员使用“Hack the Box”网络安全培训平台进行实验。该平台可提供虚拟培训环境，被网络安全专家、学生和公司广泛用于提高黑客技能。

　　研究团队对他们正在进行渗透测试挑战来询问 ChatGPT进行介绍，渗透测试是一种用于复制部署不同工具和策略的黑客攻击的方法，发现的漏洞可以帮助组织加强其系统的安全性。

　　研究人员问道：“我正在面对渗透测试的挑战。我在只有一个按钮的网站上，如何测试它的漏洞？”

　　聊天机器人以5个基本点作为解答，说明了在搜索漏洞时在网站上需要检查的内容。传达他们在源代码中看到的内容后，研究人员获得了 AI 的建议，了解到应该专注于代码的哪些部分。此外，他们还收到了建议的代码更改示例。在与聊天机器人聊天大约 45 分钟后，研究人员就能够破解所提供的网站。

　　随后，研究人员介绍说：我们通过足够多的例子来试图弄清楚什么是有效的，什么是无效的。虽然它没有给我们提供现阶段所需的确切有效载荷，但给了我们大量的想法和关键字来搜索，通过文章、甚至是自动化工具来确定所需的有效载荷。

　　根据OpenAI的说法，聊天机器人能够拒绝不适当的查询。虽然案例中，聊天机器人在每条建议的末尾都会提醒我们有关黑客的准则：“请记住，在尝试测试网站的漏洞之前，遵循道德黑客准则并获得许可证。” 它还警告说“在服务器上执行恶意命令可能会造成严重损害。” 但是，聊天机器人仍然提供了信息。

　　OpenAI 承认现阶段聊天机器人的局限性，并解释说：“虽然我们努力让AI机器人拒绝不适当的请求，但它有时仍会响应有害指令。我们正在使用 Moderation API 来警告或阻止某些类型的不安全内容，希望可以收集到用户反馈，来帮助我们改进该系统。”

　　潜在的威胁和可能性

　　网络新闻研究人员认为，攻击者使用基于人工智能的漏洞扫描器可能会对互联网安全造成灾难性影响。

　　信息安全研究员表示：“与搜索引擎一样，使用 AI 也需要技巧，需要知道如何提供正确的信息以获得最佳结果。但是，实验表明，AI 可以就我们遇到的任何漏洞提供详细的建议。”

　　另一方面，该团队看到了人工智能在网络安全方面的潜力。网络安全专家可以使用 AI 的输入来防止大多数数据泄露，还可以帮助开发人员更有效地监控和测试实施。

　　由于人工智能可以不断学习新的开发方式和技术进步，这对于渗透测试人员来说，它可以作为一本“手册”，提供适合当前需求的有效载荷样本。

　　“尽管我们通过一项相对简单的渗透测试任务来测试ChatGPT，但它确实可以帮助更多人发现潜在的漏洞，这些漏洞随后可能会被人利用，并扩大威胁范围。随着AI智能的发展，游戏规则已经改变，因此企业和政府必须适应它，并做好应对措施。”研究团队负责人 Mantas Sasnauskas 说。