史敏才

近期，OpenAI發(fā)布了聊天機器人ChatGPT，因其強大的能力引起了人們的廣泛關(guān)注，甚至許多人認為世界開始發(fā)生了變化。

如果學(xué)生可以讓ChatGPT為他們寫論文，那么大學(xué)生們肯定會爭先恐后地想出如何利用這款A(yù)I工具來完成學(xué)業(yè)。因為，我們已經(jīng)看到ChatGPT通過了法學(xué)院和商學(xué)院考試，甚至是行醫(yī)執(zhí)照考試。全球各地的員工開始使用它來撰寫電子郵件、報告，甚至編寫計算機代碼。

不過，目前ChatGPT并不完美，其數(shù)據(jù)庫也不是最新的，但它比普通人以前接觸過的任何人工智能系統(tǒng)都要強大，用戶體驗也比企業(yè)級系統(tǒng)的人工智能更加友好。似乎一旦像ChatGPT這樣的大型語言模型變得足夠大，并且在其神經(jīng)網(wǎng)絡(luò)中擁有足夠的訓(xùn)練數(shù)據(jù)、足夠的參數(shù)和足夠的層，奇怪的事情就會開始發(fā)生。它發(fā)展了在較小模型中不明顯或不可能的“特性”。換句話說，它開始表現(xiàn)得好像擁有常識和對世界的理解———或者至少是某種近似于這些東西的東西。

通過近期的新聞，我們可以看到各大科技公司爭先恐后地做出反應(yīng)。微軟向OpenAI投資了100億美元，并為Bing添加了ChatGPT功能，從而使得沉寂了很久了的搜索引擎再次成為話題。谷歌也宣布了自己的AI聊天機器人計劃，并投資了OpenAI的競爭對手Anthropic，后者由前OpenAI員工創(chuàng)立，并擁有自己的聊天機器人Claude。亞馬遜宣布計劃建立自己的ChatGPT競爭對手，并宣布與另一家人工智能初創(chuàng)公司Hugging Face建立合作伙伴關(guān)系。Facebook的Meta也將快速跟進自己的AI工作計劃。

與此同時，幸運的是安全專家也可以使用這項新技術(shù)。他們可以將其用于研究、幫助編寫電子郵件和報告、幫助編寫代碼，以及將深入研究的更多方式。但令人不安的是，壞人也將它用于所有這些事情，包括網(wǎng)絡(luò)釣魚和社會工程。他們還使用ChatGPT來幫助他們以幾個月前無法想象的規(guī)模和保真度來進行深度造假。因此，ChatGPT本身也可能是一種安全威脅。

接下來，讓我們討論這些AI工具可能對數(shù)據(jù)中心帶來的安全影響。從惡意行為者可能使用的方式開始，在某些情況下，他們已經(jīng)在使用ChatGPT，我們還將探討網(wǎng)絡(luò)安全專業(yè)人員使用ChatGPT等人工智能工具的好處和危險。

壞人如何使用ChatGPT

毫無疑問，惡意行為者已經(jīng)在使用ChatGPT。那么，ChatGPT將如何用于幫助刺激網(wǎng)絡(luò)攻擊呢。在2023年2月份發(fā)布的黑莓IT領(lǐng)導(dǎo)者調(diào)查中，53 %的受訪者表示它將幫助黑客創(chuàng)建更可信的網(wǎng)絡(luò)釣魚電子郵件，49 %的受訪者指出它有能力幫助黑客提高他們的編碼能力。調(diào)查的另一項發(fā)現(xiàn)：49 %的IT和網(wǎng)絡(luò)安全決策者表示，ChatGPT將用于傳播錯誤信息和虛假信息，48 %的人認為它可用于制作全新的惡意軟件。另有46 %的受訪者表示ChatGPT可以幫助改善現(xiàn)有攻擊。Constellation Research副總裁兼首席分析師Dion Hinchcliffe表示：“我們看到編碼人員，甚至是非編碼人員使用ChatGPT生成可以有效利用的漏洞?！碑吘梗斯ぶ悄苣Ｐ鸵呀?jīng)閱讀了所有公開發(fā)表的內(nèi)容，包括每一份研究漏洞報告、所有安全專家的每一次論壇討論。Hinchcliffe說：“它就像一個超級大腦，可以用各種方式破壞系統(tǒng)?！?/p>

這是一個可怕的前景。

而且，攻擊者也可以用它來寫作，他補充說：“我們將被來自各地的錯誤信息和網(wǎng)絡(luò)釣魚內(nèi)容所淹沒?！?h3> ChatGPT如何幫助數(shù)據(jù)中心安全專家

對于使用ChatGPT的數(shù)據(jù)中心網(wǎng)絡(luò)安全專業(yè)人員而言，云安全聯(lián)盟首席執(zhí)行官Jim Reavis表示，他在過去幾周內(nèi)看到了一些令人難以置信的AI工具病毒式實驗?！澳憧梢钥吹剿鼮榘踩幣?、自動化和響應(yīng)工具、DevSecOps和一般云容器衛(wèi)生編寫了大量代碼。”他說：“ChatGPT生成了大量的安全和隱私政策。值得注意的是，為了創(chuàng)建高質(zhì)量的釣魚電子郵件，我們進行了很多測試，希望使我們的防御在這方面更具彈性?！?/p>

此外，Reavis說：“幾家主流網(wǎng)絡(luò)安全供應(yīng)商在他們的引擎中已經(jīng)或?qū)⒑芸鞊碛蓄愃频募夹g(shù)，并根據(jù)特定規(guī)則進行訓(xùn)練。我們之前也看到過具有自然語言界面功能的工具，但還沒有一個廣泛開放的、面向客戶的ChatGPT界面。希望很快能看到與ChatGPT接口的商業(yè)解決方案，但我認為現(xiàn)在的最佳點是多種網(wǎng)絡(luò)安全工具與ChatGPT的系統(tǒng)集成以及公共云中的DIY安全自動化。總的來說，ChatGP及其同行很有希望幫助數(shù)據(jù)中心網(wǎng)絡(luò)安全團隊更高效地運作，擴大受限資源并識別新的威脅和攻擊。隨著時間的推移，幾乎所有網(wǎng)絡(luò)安全功能都將通過機器學(xué)習(xí)得到增強。此外，我們知道惡意行為者正在使用諸如ChatGPT之類的工具，并且假設(shè)我們將需要利用A來對抗惡意AI?！?h3>電子郵件安全供應(yīng)商如何使用ChatGPT

例如，電子郵件安全供應(yīng)商Mimecast已經(jīng)在使用大型語言模型生成合成電子郵件來訓(xùn)練自己的網(wǎng)絡(luò)釣魚檢測AI工具。“我們通常使用真實的電子郵件來訓(xùn)練我們的模型。”Mimecast首席數(shù)據(jù)科學(xué)家兼機器學(xué)習(xí)工程師洛佩茲（Jose Lopez）說：“為訓(xùn)練集創(chuàng)建合成數(shù)據(jù)是ChatGPT等大型語言模型的主要優(yōu)勢之一，現(xiàn)在我們可以使用這種大型語言模型來生成更多電子郵件?！辈贿^，他拒絕透露Mimecast使用的是哪種特定的大型語言模型。他說這些信息是公司的“秘密武器”。

不過，Mimecast目前并不打算檢測傳入的電子郵件是否由ChatGPT生成。那是因為使用ChatGPT的不僅僅是壞人。AI是一種非常有用的生產(chǎn)力工具，許多員工正在使用它來改進自己的合法通信。例如，洛佩茲本人是西班牙人，現(xiàn)在正在使用ChatGPT而不是語法檢查器來改進自己的寫作。Lopez還使用ChatGPT來幫助編寫代碼，許多安全專業(yè)人員可能也正在做這事情。

“在我的日常工作中，我每天都使用ChatGPT，因為它對編程真的很有用?！甭迮迤澱f：“有時它是錯誤的，但它經(jīng)常是正確的，足以讓你對其他方法敞開心扉，我不認為ChatGPT會將沒有能力的人轉(zhuǎn)變?yōu)槌壓诳汀！?h3>人工智能驅(qū)動的安全工具的興起

OpenAI已經(jīng)開始致力于提高系統(tǒng)的準確，。微軟通過Bing Chat使其能夠訪問網(wǎng)絡(luò)上的最新信息。Lopez補充說：“下一個版本將在質(zhì)量上有一個巨大的飛躍，此外，ChatGPT的開源版本即將推出。在不久的將來，我們將能夠針對特定的事物微調(diào)模型，現(xiàn)在你不只是有一把錘子，你有一整套工具?！崩?，企業(yè)可以微調(diào)模型以監(jiān)控社交網(wǎng)絡(luò)上的相關(guān)活動并尋找潛在威脅。只有時間才能證明結(jié)果是否比目前的方法更好。

將ChatGPT添加到現(xiàn)有軟件也在變得更容易、更便宜，2023年3月1日，OpenAI發(fā)布了一個API，供開發(fā)人員訪問ChatGPT和語音轉(zhuǎn)文本模型Whisper。

一般來說，企業(yè)正在迅速采用人工智能驅(qū)動的安全工具來應(yīng)對比以往任何時候都更大規(guī)模的快速演變的威脅。根據(jù)最新的Mimecast調(diào)查，92 %的企業(yè)已經(jīng)在使用或計劃使用人工智能和機器學(xué)習(xí)來加強其網(wǎng)絡(luò)安全。50 %的人認為使用它可以更準確地檢測威脅，49 %的人認為可以提高阻止威脅的能力，48 %的人認為可以在發(fā)生攻擊時更快地進行補救。81 %的受訪者表示，向電子郵件和協(xié)作工具用戶提供實時、上下文警告的人工智能系統(tǒng)將是一個巨大的福音。報告稱，12 %的人甚至表示，這種系統(tǒng)的好處將徹底改變網(wǎng)絡(luò)安全的實施方式。

Omdia網(wǎng)絡(luò)安全實踐高級分析師Ketaki Borade表示：“像ChatGPT這樣的人工智能工具也可以幫助縮小網(wǎng)絡(luò)安全技能短缺的差距。如果正確提供提示，使用此類工具可以加快更簡單的任務(wù)，并且有限的資源可以專注于更具有時間敏感性和高優(yōu)先級的問題。”

“這些大型語言模型是一種根本性的范式轉(zhuǎn)變?！盜EEE成員、Applied Science Group創(chuàng)始人兼首席執(zhí)行官Yale Fox說：“反擊惡意AI驅(qū)動攻擊的唯一方法是在防御中使用AI，數(shù)據(jù)中心的安全經(jīng)理需要提高現(xiàn)有網(wǎng)絡(luò)安全資源的技能，并尋找專門從事人工智能的新人員。”

在數(shù)據(jù)中心使用ChatGPT的危險

如前所述，ChatGPT和Copilot等人工智能工具可以幫助安全專業(yè)人員編寫代碼，從而提高他們的效率。但是，根據(jù)康奈爾大學(xué)最近的研究，使用AI助手的程序員更有可能創(chuàng)建不安全的代碼，同時認為它比那些沒有使用的人更安全。

在不考慮風(fēng)險的情況下使用ChatGPT的潛在缺點時，這只是冰山一角。有幾個廣為人知的ChatGPT或Bing Chat實例，它們非常自信地提供不正確的信息，編造統(tǒng)計數(shù)據(jù)和引述，或者對特定概念提供完全錯誤的解釋，盲目信任它的人最終可能會陷入非常糟糕的境地?！叭绻闶褂肅hatGPT開發(fā)的腳本對10 000臺虛擬機進行維護并且腳本存在錯誤，將會遇到重大問題?！盧eavis說。

數(shù)據(jù)泄露風(fēng)險

數(shù)據(jù)中心安全專業(yè)人員使用ChatGPT的另一個潛在風(fēng)險是數(shù)據(jù)泄露。OpenAI讓ChatGPT免費的原因是它可以從與用戶的交互中學(xué)習(xí)。因此，例如，如果要求ChatGPT分析數(shù)據(jù)中心的安全狀況并找出薄弱環(huán)節(jié)，那么您現(xiàn)在已經(jīng)向ChatGPT“傳授”了您的所有安全漏洞。

考慮一下面向工作的社交網(wǎng)絡(luò)Fishbowl在2月份進行的一項調(diào)查，發(fā)現(xiàn)43 %的專業(yè)人士在工作中使用ChatGPT或類似工具，高于一個月前的27 %。如果他們這樣做，70 %的人不會告訴他們的老板。因此，潛在的安全風(fēng)險很高，這就是摩根大通、亞馬遜、Verizon、埃森哲和許多其他公司禁止其員工使用該工具的原因。

OpenAI本月發(fā)布的新ChatGPT API將允許企業(yè)將其數(shù)據(jù)保密并選擇不將其用于訓(xùn)練，但不保證不會發(fā)生意外泄漏。將來，一旦ChatGPT的開源版本可用，數(shù)據(jù)中心將能夠在其防火墻后、在本地運行它，避免可能暴露給外部人員。

倫理問題

最后，Insight的杰出工程師Carm Taglienti表示，使用ChatGPT式技術(shù)來保護內(nèi)部數(shù)據(jù)中心安全存在潛在的道德風(fēng)險。他說：”這些模型非常擅長理解我們作為人類的交流方式，因此，可以訪問員工通信的ChatGPT式工具可能能夠發(fā)現(xiàn)表明潛在威脅的意圖和潛臺詞。我們正在努力防止網(wǎng)絡(luò)黑客攻擊和內(nèi)部黑客攻擊，許多違規(guī)行為的發(fā)生是因為人們帶著東西走出門外。像ChatGPT這樣的東西，對一個組織來說可能非常有價值，但現(xiàn)在我們正在進入這個道德領(lǐng)域，人們將在這個領(lǐng)域?qū)ψ约哼M行介紹并監(jiān)控所做的一切。”

這說明數(shù)據(jù)中心可能還沒有準備好迎接“少數(shù)派報告式的未來”。