Wszyscy zachłysnęliśmy się sztuczną inteligencją. Tworzy nam obrazy, pisze wypracowania, pomaga kodować i planuje wakacje. Okazuje się jednak, że entuzjazm podzielają nie tylko uczciwi obywatele. Najnowsze raporty, w tym jeden gorący prosto z laboratorium Google, potwierdzają to, czego po cichu się obawialiśmy – hakerzy na potęgę zaprzęgli duże modele językowe do swoich niecnych celów. I niestety, idzie im całkiem nieźle. Sprawdźmy, co faktycznie odkryli eksperci i co to oznacza dla Ciebie.
Sztuczna inteligencja jako nowy pomocnik hakera
Eksperci z Google Threat Intelligence Group (GTIG), czyli jednostki zajmującej się tropieniem najgorszych zagrożeń w sieci, opublikowali niedawno analizę, która daje do myślenia. Badacze Google zidentyfikowali złośliwe oprogramowanie, które aktywnie komunikowało się z serwerami obsługującymi modele AI. Mówiąc prościej – malware “odrabiał lekcje” u sztucznej inteligencji.
O co pytał? Na pewno nie o przepis na szarlotkę. Hakerzy, zarówno ci sponsorowani przez rządy, jak i zwykli cyberprzestępcy, używają AI do usprawniania swoich ataków. Raport Google Cloud wyraźnie wskazuje, że technologia pomaga im na kilku frontach. Oczywiście AI nagle nie wymyśliło nowego, genialnego sposobu na złamanie zabezpieczeń Pentagonu. Rzeczywistość jest bardziej prozaiczna, ale równie niebezpieczna. Sztuczna inteligencja stała się dla hakera tym, czym zaawansowany edytor tekstu dla pisarza – narzędziem, które znacząco przyspiesza pracę i eliminuje głupie błędy.
Phishing, który w końcu da się czytać
Pamiętasz jeszcze e-maile od rzekomego “nigeryjskiego księcia” oferującego miliony dolarów, napisane łamaną polszczyzną, albo dziwaczne wiadomości o wygranej na loterii, w której nigdy nie brałeś udziału? Przez lata mogliśmy polegać na tym, że oszuści są… cóż, kiepscy w gramatyce. Jednak stare czasy odchodzą w niepamięć.
Dzięki modelom AI, cyberprzestępcy mogą generować e-maile phishingowe, które są praktycznie nie do odróżnienia od prawdziwej korespondencji biznesowej. AI potrafi idealnie naśladować styl korporacyjny, pisać bezbłędne, ponaglające wiadomości od “działu IT” lub “prezesa” i tłumaczyć swoje oszustwa na dziesiątki języków bez utraty sensu.
Statystyki nie kłamią – robi się gorąco. Raport ThreatLabz 2024 firmy Zscaler rzuca światło na skalę problemu, choć nieco inaczej, niż mogłoby się wydawać.
Po pierwsze, Zscaler odnotował ogólny wzrost liczby ataków phishingowych o 58,2% w 2023 roku (w porównaniu z 2022). To prawie 60% więcej prób oszustwa!
Po drugie – i tu dochodzimy do roli AI – raport Zscaler wskazał na gigantyczny, sięgający prawie 1000% (dokładnie 987%) wzrost liczby treści phishingowych hostowanych na platformach związanych z generatywną sztuczną inteligencją. Oszuści nie tylko używają AI do pisania tekstów, ale też wykorzystują infrastrukturę narzędzi AI do ukrywania swoich brudnych sekretów.
Teraz pomyśl, co to oznacza w praktyce. Definitywny koniec z błędami ortograficznymi jako sygnałem ostrzegawczym. Sztuczna inteligencja jest kluczowym “wzmacniaczem”, który sprawia, że wspomniane 58% nowych ataków jest znacznie skuteczniejszych. Wiadomość brzmi, jakby autentycznie napisał ją Twój przełożony, prosząc o pilne kliknięcie linku do faktury.
Kopiuj-wklej, czyli AI pisze złośliwy kod
Drugim obszarem, który Google wskazuje w swoim raporcie, jest pomoc w pisaniu kodu. I znowu, AI nie tworzy superwirusa od zera. Zamiast tego działa jak błyskawiczny asystent programisty. Hakerzy używają modeli językowych do generowania fragmentów skryptów.
Przykładowo, początkujący haker może zapytać AI o napisanie prostego skryptu do skanowania sieci albo o wytłumaczenie określonych zagadnień. Model AI grzecznie dostarczy gotowy kod lub poda na tacy wyjaśnienie. Na blogu, Google podaje konkretny przykład grupy, która używała AI do wyszukiwania informacji o specyficznych funkcjach chmurowych, prawdopodobnie szukając słabych punktów w konfiguracji.
Kluczowy wniosek z raportu Google jest taki – AI drastycznie obniża próg wejścia. Osoba, która ma tylko podstawowe pojęcie o hakowaniu, ale potrafi zadawać dobre pytania, może z pomocą AI działać znacznie skuteczniej. Sztuczna inteligencja upraszcza nie tylko dostęp do wiedzy, ale również dostęp do narzędzi cyberprzestępczych – to niestety jest dla nas, zwykłych zjadaczy chleba najgorsze.
Co jeszcze AI szepcze hakerom do ucha?
Hakerzy, karmieni pomysłami przez sztuczną inteligencję, mają w zanadrzu znacznie więcej sztuczek. Wspomniany raport Google Cloud rzuca światło na dwa zjawiska. Są one znacznie gorsze niż samo pisanie e-maili.
Błyskawiczne badanie terenu (zanim ruszą do ataku)
Zanim haker wyśle Ci złośliwy link, musi odrobić pracę domową. Kiedyś zajmowało to wieki – trzeba było ręcznie przeszukiwać internet, czytać nudną dokumentację techniczną i szukać informacji o Twojej firmie. Teraz? Teraz mają od tego AI. Raport Google pokazuje, że przestępcy używają modeli językowych do szybkiego rozpoznania. Zadają pytania o konkretne technologie chmurowe, szukają informacji o znanych lukach w zabezpieczeniach albo proszą o streszczenie skomplikowanych zagadnień technicznych. Dzięki temu mogą znacznie precyzyjniej wybrać cel i uderzyć w najsłabszy punkt.
Fabryka dezinformacji i operacje wpływu
Tutaj robi się naprawdę poważnie, bo wychodzimy poza zwykłą kradzież haseł. Grupy hakerów wykorzystują AI do prowadzenia operacji wpływu. Sztuczna inteligencja potrafi w kilka sekund wygenerować tysiące artykułów, postów na media społecznościowe czy komentarzy, które wyglądają na autentyczne. Służą one do siania paniki, manipulowania opinią publiczną przed wyborami lub podważania zaufania do instytucji. AI pomaga im nie tylko tworzyć te treści, ale też tłumaczyć je na różne języki i wzmacniać ich zasięg w sieci.
Czy to już czas na panikę i bunkier?
Na szczęście Google wyraźnie zaznacza, że AI na razie jest tylko wzmacniaczem, a nie magiczną różdżką. Nie potrafi samodzielnie znajdować zupełnie nowych, nieznanych luk w zabezpieczeniach (tzw. zero-day). Pomaga jedynie automatyzować i usprawniać to, co hakerzy robili już wcześniej.
Po drugie, jest też jasna strona medalu. Dokładnie takie same modele AI są używane przez “tych dobrych”. Eksperci od cyberbezpieczeństwa również wykorzystują sztuczną inteligencję do analizowania malware, przewidywania ataków i łatania dziur w oprogramowaniu. Mamy tu klasyczny wyścig zbrojeń, tylko że obie strony dostały szybsze silniki w tym samym czasie.
Cała sytuacja ma w sobie pewien ironiczny posmak. Sztuczna inteligencja miała być jak super-inteligentny stażysta, który robi za nas nudne rzeczy. Tymczasem wygląda na to, że przeszła na ciemną stronę mocy i chętnie pomaga, ale w zgoła innych zadaniach.
Co robić, jak żyć?
Ataki stają się perfidnie inteligentne, co zmusza nas do podniesienia poprzeczki w obronie. Paradoksalnie, najlepsza recepta jest stara jak świat. Po prostu teraz musimy się jej trzymać z podwójną siłą.
- Sceptycyzm 2.0 – traktuj każdą nieoczekiwaną wiadomość z podejrzliwością. Nawet jeśli jest perfekcyjnie napisana. Prezes prosi o pilne przelanie pieniędzy w e-mailu? Dział kadr każe kliknąć link do nowego regulaminu? Zanim cokolwiek zrobisz, zweryfikuj to innym kanałem. Zadzwoń do tej osoby, zapytaj na firmowym komunikatorze.
- Menedżer haseł i 2FA – AI może pomóc napisać phishing, ale nie złamie dobrego, unikalnego hasła i nie obejdzie uwierzytelniania dwuskładnikowego (2FA). Używaj menedżerów haseł (z wyjątkiem tego wbudowanego w przeglądarkę) i włącz 2FA wszędzie tam, gdzie się da.
- Aktualizacje to podstawa – hakerzy często proszą AI o pomoc w znalezieniu znanych luk w starym oprogramowaniu. Regularne aktualizowanie systemu operacyjnego, przeglądarki i wszystkich programów jest najprostszym sposobem na zamknięcie im drzwi przed nosem.
Koniec końców, AI to tylko technologia. Przestępcy wykorzystują ją, by usprawnić swoje ataki, z kolei spece od bezpieczeństwa i Ty mogą ją wykorzystać do lepszej obrony. Nie ma co panikować. Najważniejszy jest stary, dobry zdrowy rozsądek i podwójna czujność. A przede wszystkim – nie klikaj w byle co. Nawet jeśli wiadomość będzie napisana polszczyzną, której nie powstydziłby się Mickiewicz.
Źródło: Raport Google Threat Intelligence Group
