Yapay zeka, hedef odaklı kimlik avı dolandırıcılıklarını daha etkili hale getiriyor ve çoğu kişi, yapay zeka tarafından yazılan bir yem ile insan tarafından yazılan bir yem arasındaki farkı anlayamıyor. Bu, Brigham Young Üniversitesi'nin hakemli Siber Güvenlik ve Gizlilik Dergisi'nde yayınlanan ve KSL.com ve Phys.org tarafından yakın zamanda yayınlanan haberde vurgulanan yeni araştırmasının temel bulgusudur.
BYU'nun haber bültenine göre, çalışmaya katılan BYU siber güvenlik araştırmacısı Jerson Francia, "Araştırmamız, yapay zekanın mevcut durumunun ne kadar karmaşık olduğunu gösteren son araştırmadır" dedi.
Araştırmacılar Ne Yaptı?
Bir BYU ekibi tarafından yazılan ve arXiv'de ön baskı olarak sunulan çalışma, GPT-4 tarafından oluşturulan kişiselleştirilmiş kimlik avı metin mesajları ile aynı 25 hedef için acemi insanlar (zaman kısıtlaması altında yazan öğrenciler) tarafından yazılan mesajlar arasında kontrollü bir karşılaştırma kurdu.
Katılımcıların her biri, kendileri için özel olarak hazırlanmış 12 kişiselleştirilmiş mesajdan oluşan bir set aldı. Bazıları yapay zeka tarafından üretildi, bazıları ise insan tarafından yazıldı. Araştırmacılar, TRAPD (Kişiselleştirilmiş Aldatma için Eşik Sıralaması Yaklaşımı) adını verdikleri bir yöntem kullandılar; bu yönteme göre katılımcılar mesajları sıraladı, tıklamayı planladıkları noktayı belirtti, gerekçelerini açıkladı ve her mesajın bir kişi tarafından mı yoksa GPT-4 tarafından mı yazıldığına karar verdi.
Tasarım önemlidir çünkü daha önceki kimlik avı çalışmalarının çoğu sonuçları soyut olarak ölçmekteydi. Bu, her bir katılımcı için kişiselleştirilmiş mesajlara verilen yanıtları ölçtü; bu, hedef odaklı kimlik avının tam olarak nasıl çalıştığıdır.
Daha Fazla Tıklama, Daha İyi Tespit Yok
Başlık numaraları: GPT-4 tarafından oluşturulan mesajlar, öğrencilerin yazdığı mesajlardan daha sık tıklama niyetini ortaya çıkardı (%28'e karşı %21) ancak araştırmacılar, pilot çalışmanın boyutu göz önüne alındığında aradaki farkın istatistiksel belirsizlik taşıdığını belirtiyor.
Daha rahatsız edici sonuç ise katılımcıların yapamadıklarıydı. Bir mesajın bir insan tarafından mı yazıldığı yoksa yapay zeka tarafından mı oluşturulduğu sorulduğunda, alıcılar kaynağı tesadüfen daha doğru bir şekilde tanımlayamadı. Başka bir deyişle, insanların makineyle yazılan metinlere uyguladıklarına inandıkları ekstra ihtiyatlılık, sonuçlarda ortaya çıkmadı; çalışma katılımcıları esasen yazarlık konusunda yazı tura atıyorlardı.
Çalışma aynı zamanda bağlamın içerikten daha üstün olduğunu da ortaya çıkardı: işle ilgili konular etrafında çerçevelenen mesajların, hobilere veya sosyal medyaya bağlı mesajlardan önemli ölçüde daha fazla tıklama niyetini tetikleme olasılığı daha yüksekti. Saldırganlar için bu bir güç çarpanıdır çünkü istihdam ayrıntıları çevrimiçi ortamda bulunması en kolay kişisel bilgiler arasındadır.
İşle İlgili Yemler Neden En İyi Şekilde Çalışır?
İşle ilgili mesajlara ilişkin bulgu, savunucuların özel ilgisini hak ediyor. Hedef odaklı kimlik avı, kişiselleştirme yoluyla başarılı olur; işvereninize, rolünüze veya mevcut projelerinize atıfta bulunan bir mesaj, spesifik olduğu için tam olarak meşru görünür.
BYU sonuçları, büyük dil modellerinin bu kişiselleştirme iş akışını önemli ölçüde sıkıştırdığını gösteriyor. Araştırmacılar, bir zamanlar yetenekli bir toplum mühendisi tarafından saatlerce süren manuel araştırma ve dikkatli taslak hazırlamanın artık sıfıra yakın marjinal maliyetle basit yönlendirmelerle tahmin edilebileceğini yazıyor. Büyük, kişiselleştirilmiş bir kampanya yürütmenin önündeki engel artık beceri değil. Bir sohbet robotuna ve bir hedef listesine erişimdir.
Savunmacılar İçin Ne İfade Ediyor?
Bunun pratik sonuçları güvenlik ekipleri için düşündürücüdür. Farkındalık eğitimi genellikle çalışanlara uygunsuz ifadeleri, tuhaf tonlamayı veya doğal olmayan dili tespit etmeyi öğretir; bu, geçmişte açığa çıkan kimlik avı girişimlerini anlatır. "Robotik" yazıyı tespit etmeye dayanan bir dedektör artık ölçülebilir derecede güvenilmez çünkü bu çalışmadaki alıcılar yapay zeka tarafından yazılan mesajlardan insan tarafından yazılan mesajları hiçbir şekilde ayırt edemiyor.
BYU ekibi, bulguları, erişilebilir yapay zeka destekli kişiselleştirmenin sosyal mühendislik tehditlerinin pratik ölçeğini artırabileceğinin kanıtı olarak çerçeveliyor. Ucuz, genel kimlik avının norm olarak kalacağını varsayan savunmalar, verilerin artık desteklemediği bir varsayım üzerine inşa edilmiştir.
Araştırmacılar ayrıca çalışmanın sınırlarını da vurguluyorlar. Profesyonel kimlik avcıları yerine öğrenci yazarların yer aldığı, SMS mesajları kullanan 25 hedefli bir pilot çalışmaydı; bu karşılaştırma, yapay zeka çıktısı ile gerçek dünyadaki ortalama dolandırıcılık kalitesi arasındaki farkı olduğundan az gösteriyor. Ekip, insan yargıçların kaynakları birbirinden ayırt edememesine rağmen, iki mesaj setinin hesaplama açısından ayırt edilebilir kaldığını ve otomatik algılama yaklaşımlarına yer bıraktığını belirtiyor.
Kuruluşlar için sonuç teknik olmaktan çok prosedürseldir: istekleri ayrı kanallar aracılığıyla doğrulayın, aciliyet ve işle ilgili çerçevelemeyi, mesajın ne kadar gösterişli okunduğuna bakılmaksızın risk sinyalleri olarak ele alın ve iyi yazılmış olmanın artık insan tarafından yazılmış anlamına gelmediğini varsayın.
Yapay Zekanın Önünde Olun
Yapay zekanın güvenliği ve toplumu nasıl yeniden şekillendirdiğini mi takip ediyorsunuz? AI Buzz Wire'da daha fazla AI haberini okuyun — her gün bağımsız AI yayını.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
