Generación de mensajes de phishing con GPT-3
Una herramienta de este tipo puede ser la facilidad con la que los ciberatacantes pueden generar mensajes de phishing sin tener que emplear escritores que sepan inglés, pero va mucho más allá.
En los ciberataques masivos de phishing, pero incluso en los más dirigidos donde el número de víctimas es menor, el texto o señuelo en el correo electrónico suele ser idéntico. Esto facilita que los proveedores de seguridad e incluso los filtros automatizados creen reglas de detección basadas en el texto.
Debido a esto, los ciberatacantes saben que tienen un tiempo limitado para atrapar a las víctimas antes de que sus correos electrónicos se marquen como spam o malware y se bloqueen o eliminen de las bandejas de entrada.
Sin embargo, con herramientas como ChatGPT, pueden escribir un aviso y generar variantes únicas ilimitadas del mismo mensaje de señuelo e incluso automatizarlo para que cada correo electrónico de phishing sea único.
Cuanto más complejo y largo sea un mensaje de phishing, más probable es que los atacantes cometan errores gramaticales o incluyan frases extrañas que los lectores cuidadosos detectarán y sospecharán. Con los mensajes generados por ChatGPT, esta línea de defensa que se basa en la observación del usuario se derrota fácilmente al menos en lo que se refiere a la corrección del texto.
Detectar que un mensaje fue escrito por un modelo de Inteligencia Artificial no es imposible y los investigadores ya están trabajando en este tipo de herramientas. Si bien estos pueden funcionar con los modelos actuales y ser útiles en algunos escenarios, como escuelas que detectan ensayos generados por IA enviados por estudiantes, es difícil ver cómo se pueden aplicar para el filtrado de correo electrónico porque las personas ya están usando dichos modelos para escribir correos electrónicos comerciales y simplificar su trabajo.
En palabras de Andy Patel, investigador de WithSecure Intelligence, a CSO: “El problema es que la gente probablemente usará estos grandes modelos de lenguaje para escribir contenido benigno también. Entonces, no puede detectar. No puede decir que algo escrito por GPT-3 es un correo electrónico de phishing, ¿verdad? Solo puede decir que este es un correo electrónico escrito por GPT-3. Entonces, al introducir la detección métodos para el contenido escrito generado por IA, en realidad no está resolviendo el problema de atrapar correos electrónicos de phishing”.
