Inteligența artificială face ca înșelătoriile de tip spear phishing să fie mai eficiente, iar majoritatea oamenilor nu pot face diferența dintre o nalucă scrisă prin inteligență artificială și una scrisă de om. Aceasta este concluzia de bază a noilor cercetări de la Universitatea Brigham Young, publicată în Jurnalul de securitate cibernetică și confidențialitate, revizuită de colegi și evidențiată în acoperirea recentă de KSL.com și Phys.org.
„Cercetarea noastră este cea mai recentă care arată cât de sofisticată este starea actuală a inteligenței artificiale”, a declarat Jerson Francia, un cercetător BYU în domeniul securității cibernetice implicat în lucrare, potrivit comunicatului de presă al BYU.
Ce au făcut cercetătorii
Studiul, realizat de o echipă BYU și disponibil ca preprint pe arXiv, a stabilit o comparație controlată între mesajele text personalizate de phishing generate de GPT-4 și mesajele scrise de începători umani - studenți care scriu sub constrângeri de timp - pentru aceleași 25 de ținte.
Fiecare participant a primit un set de 12 mesaje personalizate create special pentru ei. Unele au fost generate de inteligență artificială, altele scrise de oameni. Cercetătorii au folosit o metodă pe care o numesc TRAPD - Threshold Ranking Approach for Personalized Deception - în baza căreia participanții au clasat mesajele, au indicat punctul în care ar intenționa să facă clic, și-au explicat raționamentul și au judecat dacă fiecare mesaj a fost scris de o persoană sau de GPT-4.
Designul contează deoarece majoritatea studiilor anterioare de phishing măsurau rezultatele în abstract. Acesta a măsurat răspunsurile la mesajele personalizate pentru fiecare participant în parte, exact cum funcționează spear phishingul real.
Mai multe clicuri, nicio detectare mai bună
Numerele titlurilor: mesajele generate de GPT-4 au provocat intenția de a face clic mai des decât mesajele scrise de studenți – 28% față de 21% – deși cercetătorii notează că diferența implică incertitudine statistică, având în vedere dimensiunea studiului pilot.
Rezultatul mai neliniștitor este ceea ce participanții nu au putut face. Când au fost întrebați dacă un mesaj a fost scris de un om sau generat de AI, destinatarii au identificat sursa nu mai exact decât întâmplător. Cu alte cuvinte, precauția suplimentară pe care oamenii cred că o aplică textului scris de mașină nu a apărut în rezultate - participanții la studiu au fost, în esență, răsturnând monede în ceea ce privește autorul.
De asemenea, studiul a constatat că contextul bate conținutul: mesajele încadrate în jurul chestiunilor legate de locul de muncă au fost semnificativ mai probabil să declanșeze intenția de a face clic decât mesajele legate de hobby-uri sau rețelele sociale. Pentru atacatori, acesta este un multiplicator de forță, deoarece detaliile de angajare sunt printre cele mai ușor de găsit informații cu caracter personal online.
De ce momelile legate de locul de muncă funcționează cel mai bine
Constatarea mesajelor legate de muncă merită o atenție deosebită din partea apărătorilor. Spear phishing reușește prin personalizare – un mesaj care face referire la angajatorul tău, rolul tău sau proiectele tale curente se simte legitim tocmai pentru că este specific.
Rezultatele BYU sugerează că modelele mari de limbaj comprimă în mod dramatic acel flux de personalizare. Ceea ce odinioară necesita ore de cercetare manuală și redactare atentă de către un inginer social calificat poate fi acum aproximat din indicații simple la un cost marginal aproape de zero, scriu cercetătorii. Bariera în calea derulării unei campanii mari, personalizate nu mai este îndemânarea. Este acces la un chatbot și o listă țintă.
Ce înseamnă pentru apărători
Implicațiile practice sunt îngrijorătoare pentru echipele de securitate. Instruirea de conștientizare îi învață adesea pe angajați să identifice fraze incomode, tonuri ciudate sau limbaj nenatural - spune că încercările de phishing au fost expuse istoric. Un detector care se bazează pe identificarea scrisului „robotic” este acum măsurabil de nesigur, deoarece destinatarii acestui studiu nu au putut distinge deloc mesajele scrise prin inteligență artificială de mesajele scrise de oameni.
Echipa BYU încadrează concluziile ca o dovadă că personalizarea accesibilă asistată de AI poate crește amploarea practică a amenințărilor de inginerie socială. Apărările care presupun phishing ieftin și generic vor rămâne norma sunt construite pe o presupunere pe care datele nu o mai acceptă.
Cercetătorii subliniază, de asemenea, limitele studiului. A fost un pilot cu 25 de ținte folosind mesaje SMS, cu autori studenți mai degrabă decât phisheri profesioniști - o comparație care, dacă este ceva, subestimează decalajul dintre producția AI și calitatea medie a escrocherilor din lumea reală. Echipa notează că, în timp ce judecătorii umani nu au putut deosebi sursele, cele două seturi de mesaje au rămas distincte din punct de vedere computațional, lăsând loc abordărilor automate de detectare.
Pentru organizații, concluzia este mai degrabă procedurală decât tehnică: verificați cererile prin canale separate, tratați urgența și încadrarea legată de locul de muncă ca semnale de risc, indiferent de cât de bine este citit mesajul și presupuneți că bine scris nu mai înseamnă scris uman.
Rămâi înaintea AI
Urmăriți modul în care AI remodelează securitatea și societatea? Citiți mai multe știri AI pe AI Buzz Wire — acoperire independentă AI, în fiecare zi.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
