Kecerdasan buatan menjadikan penipuan pancingan lembing lebih berkesan, dan kebanyakan orang tidak dapat membezakan antara gewang yang ditulis AI dan yang ditulis oleh manusia. Itulah penemuan teras penyelidikan baharu daripada Universiti Brigham Young, yang diterbitkan dalam Jurnal Keselamatan Siber dan Privasi yang disemak rakan sebaya dan diserlahkan dalam liputan terkini oleh KSL.com dan Phys.org.
"Penyelidikan kami hanyalah yang terbaru untuk menunjukkan betapa canggihnya keadaan semasa AI," kata Jerson Francia, penyelidik keselamatan siber BYU yang terlibat dalam kerja itu, menurut siaran berita BYU.
Apa Yang Penyelidik Lakukan
Kajian itu, yang dikarang oleh pasukan BYU dan tersedia sebagai pracetak pada arXiv, menyediakan perbandingan terkawal antara mesej teks pancingan data yang diperibadikan yang dijana oleh GPT-4 dan mesej yang ditulis oleh orang baru — pelajar menulis di bawah kekangan masa — untuk 25 sasaran yang sama.
Setiap peserta menerima satu set 12 mesej peribadi yang dibuat khusus untuk mereka. Ada yang dijana AI, ada yang ditulis manusia. Para penyelidik menggunakan kaedah yang mereka panggil TRAPD — Pendekatan Kedudukan Ambang untuk Penipuan Peribadi — di mana peserta meletakkan kedudukan mesej, menunjukkan titik di mana mereka ingin mengklik, menjelaskan alasan mereka dan menilai sama ada setiap mesej telah ditulis oleh seseorang atau oleh GPT-4.
Reka bentuk penting kerana kebanyakan kajian pancingan data awal mengukur hasil dalam abstrak. Ini mengukur respons kepada mesej yang diperibadikan untuk setiap peserta individu, iaitu cara pancingan data lembing sebenar berfungsi.
Lebih Banyak Klik, Tiada Pengesanan Lebih Baik
Nombor tajuk: Mesej yang dijana GPT-4 menimbulkan niat untuk mengklik lebih kerap daripada mesej yang dikarang pelajar — 28% berbanding 21% — walaupun penyelidik mendapati bahawa perbezaan itu membawa ketidakpastian statistik memandangkan saiz kajian rintis.
Keputusan yang lebih meresahkan ialah apa yang tidak dapat dilakukan oleh peserta. Apabila ditanya sama ada mesej ditulis oleh manusia atau dihasilkan oleh AI, penerima mengenal pasti sumber itu tidak lebih tepat daripada kebetulan. Dalam erti kata lain, orang yang lebih berhati-hati percaya bahawa mereka menggunakan teks yang ditulis mesin tidak muncul dalam keputusan - peserta kajian pada asasnya membalikkan syiling pada kepengarangan.
Kajian itu juga mendapati bahawa konteks mengatasi kandungan: mesej yang dirangka di sekitar perkara berkaitan pekerjaan adalah lebih berkemungkinan mencetuskan niat untuk mengklik berbanding mesej yang terikat dengan hobi atau media sosial. Bagi penyerang, itu adalah pengganda kuasa, kerana butiran pekerjaan adalah antara maklumat peribadi yang paling mudah dicari dalam talian.
Mengapa Gewang Berkaitan Pekerjaan Berfungsi Paling Baik
Penemuan mengenai mesej berkaitan kerja patut diberi perhatian khusus daripada pembela. Spear phishing berjaya melalui pemperibadian — mesej yang merujuk kepada majikan anda, peranan anda atau projek semasa anda berasa sah kerana ia khusus.
Keputusan BYU mencadangkan bahawa model bahasa besar memampatkan aliran kerja pemperibadian itu secara mendadak. Apa yang memerlukan beberapa jam penyelidikan manual dan penggubalan yang teliti oleh jurutera sosial mahir kini boleh dianggarkan daripada gesaan mudah pada kos marginal hampir sifar, tulis para penyelidik. Halangan untuk menjalankan kempen yang besar dan diperibadikan bukan lagi kemahiran. Ia adalah akses kepada chatbot dan senarai sasaran.
Maksudnya untuk Pembela
Implikasi praktikalnya membimbangkan pasukan keselamatan. Latihan kesedaran selalunya mengajar pekerja untuk melihat ungkapan janggal, nada ganjil atau bahasa luar tabii — memberitahu bahawa percubaan pancingan data yang terdedah secara sejarah. Pengesan yang bergantung pada pengesanan tulisan "robotik" kini tidak boleh dipercayai, kerana penerima dalam kajian ini tidak dapat membezakan mesej yang ditulis AI daripada mesej yang ditulis oleh manusia sama sekali.
Pasukan BYU merangka penemuan sebagai bukti bahawa pemperibadian berbantukan AI yang boleh diakses boleh meningkatkan skala praktikal ancaman kejuruteraan sosial. Pertahanan yang menganggap pancingan data generik yang murah akan kekal sebagai norma dibina atas andaian data tidak lagi menyokong.
Para penyelidik juga menekankan had kajian. Ia adalah perintis 25 sasaran yang menggunakan mesej SMS, dengan pengarang pelajar dan bukannya pancing data profesional — perbandingan yang, jika ada, mengecilkan jurang antara output AI dan purata kualiti penipuan dunia sebenar. Pasukan itu mencatatkan bahawa walaupun hakim manusia tidak dapat membezakan sumber, kedua-dua set mesej kekal boleh dibezakan secara pengiraan, memberikan ruang untuk pendekatan pengesanan automatik.
Bagi organisasi, pengambilan adalah prosedur dan bukannya teknikal: sahkan permintaan melalui saluran yang berasingan, anggap keperluan mendesak dan pembingkaian berkaitan pekerjaan sebagai isyarat risiko tanpa mengira bagaimana mesej yang digilap dibaca, dan menganggap bahawa tulisan yang baik tidak lagi bermakna tulisan manusia.
Kekal Mendahului AI
Menjejaki bagaimana AI membentuk semula keselamatan dan masyarakat? Baca lebih banyak berita AI di AI Buzz Wire — liputan AI bebas, setiap hari.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
