На темной стороне: как развитие ИИ влияет на уровень кибербезопасности

Пессимист — тот, кто считает, что все плохо. Оптимист уверен, что все могло быть еще хуже. Представляя 2023 год через призму кибербезопасности, точно стоит быть открытым ко второму подходу: мы уже видим качественно новые типы киберугроз, которые до этого были экономически неэффективны или технически нереализуемы. В этом году появились возможности сразу для нескольких новых видов атак. Связано это с быстрым совершенствованием технологий искусственного интеллекта, которые стали массово доступны. Хотя первая нейронная сеть была создана еще в 1958 году, долгое время нейросети использовались лишь в качестве забавных игрушек. Но посмотрите на ChatGPT: сначала пользователи общались с ним, потом стали «заказывать» ему тексты, затем начали тестировать чат-бот для разработки и поиска ошибок в коде. И, значит, скоро его начнут использовать и при создании вредоносного ПО — сообщения о таких экспериментах уже появляются. 

Любая технология, которая прочно входит в жизнь пользователей, рано или поздно берется на вооружение киберпреступниками. И это та самая темная сторона цифровизации, о которой говорить неприятно, но надо.

Какие же угрозы могут появиться в ближайшем будущем?

DeepPhishing 

Сервисы на основе базовых алгоритмов искусственного интеллекта, генерирующие необычные аватары из фотографий, стали привычной игрушкой. Они появляются с завидной регулярностью, скачиваются на сотни миллионов устройств, обрабатывают миллиарды фото, затем хайп спадает, и уже через месяц пользователи благополучно забывают даже название очередного приложения. Зато они легко сливают сторонним сервисам свои фото и видео для получения эндорфинов от уникального и персонализированного контента и, конечно, лайков в социальных сетях. Казалось бы, что может пойти не так? 

Есть такой тип киберпреступлений — фишинг. С ним сталкивался почти каждый: в почту приходит письмо с заголовком «Распродажа, скидки до 90%», вы радостно кликаете по ссылке, и компьютер, по сути, перестает быть вашим — хакер может делать на нем если не все, то многое. Несколько лет назад с развитием больших данных стал появляться так называемый спирфишинг (Spеar Phishing), или таргетированный фишинг. Он уже не был похож на обычный спам: вредоносная программа обращалась в почте лично к вам и могла использовать информацию, украденную, например, из вашей учетной записи в социальной сети. Это вызывало доверие и мотивировало вас кликнуть на все ту же ссылку. 

То, что я назвал Deep Phishing — это спирфишинг «на стероидах». В этом случае хакеры при помощи высокотехнологичных инструментов анализа данных понимают, кто ваши друзья. Выбирают доверенный контакт. Потом из его/ее публичных (или украденных) фото и видео собирают виртуального бота-болванку. При помощи такого бота хакер может позвонить вам по видео, выглядеть при этом как ваш друг или подруга, говорить нужным голосом и даже так же шутить — ведь ИИ будет обучаться на реальных данных — и, наконец, попросить вас совершить определенное действие. Например, перейти по нужной ссылке, перевести деньги на другой номер, объясняя это проблемами с интернетом или банковским приложением — чем угодно. И многие такому боту поверят, ибо он будет почти неотличим от оригинала.  

ВКС-инженерия 

Этот тип угроз вырастает из первого типа, разница лишь в том, что мошенники используют Zoom, Skype, Hangounts, Webinar и другие системы видеосвязи, которые прочно вошли в нашу жизнь. В 2023 году мы можем увидеть всплеск числа случаев, когда на корпоративный Zoom приходит ваш начальник, который выглядит и говорит привычным для вас образом. Но на самом деле это хакер, маскирующий свое истинное лицо меняющейся в реальном времени ИИ-маской. Примерно как главный злодей классического фильма «Фантомас» с Луи де Фюнесом. В определенный момент начальник может внезапно попросить оплатить договор, перевести деньги на какой-то счет, утвердить решение, которое повлияет на стоимость акций компании, — словом, сделать то, из чего хакеры извлекут прибыль. 

А помните старую схему телефонного мошенничества, когда людям звонили якобы из полиции, говорили, что их ребенок совершил преступление, и предлагали перевести деньги на указанный счет, чтобы замять дело? Представьте, что такой звонок происходит по видеосвязи, вы видите своего ребенка и слышите его голос. Поверите? И это не фантазия, а реальность. 

Data-шантаж 

Каждый человек сегодня — это дата-сенсор для сети, которую мы до конца не понимаем: мы отдаем огромное количество поведенческих и телеметрических данных сотням компаний и дата-брокеров.

Данные о вашем поведении в сети далеко не так анонимизированы, как многие привыкли думать. Разумеется, не каждый человек является интересной целью для отслеживания и шпионажа, но топ-менеджеры крупных компаний и крупные чиновники — вполне. Цифровой след оставляет даже самый аккуратный и осторожный пользователь интернета, а собранные воедино данные о вашем поведении дают большой простор для манипуляций и даже шантажа.

При помощи дата-трекеров, инструментов слежения и взломов учетных записей, злоумышленник стремится получить данные, которые вы захотите выкупить за любые деньги: подтверждения фактов супружеской измены, манипуляций служебным положениям ради выгоды, нарушения закона. В последнем случае может иметь место и обратная ситуация — не хищение, а подброс данных целевой жертве, например закачка видео с детским порно на жесткий или облачный диск. 

Data-шпионаж 

Разница с предыдущей угрозой лишь в том, что здесь речь не о корпорациях, а о целенаправленном хищении данных, компрометирующих конкретного человека, занимающего ключевой пост в компании или государственном учреждении. 

Количество и качество этих данных за счет цифровизации достигло некоей критической массы, при которой хакерам и спецслужбам выгодно вкладываться в дата-шпионаж, то есть взламывать корпоративные системы ради получения данных о сотрудниках, контрактах, инфраструктуре. И через эти данные строить клоны чужих бизнес-процессов, понимать узкие места, реальные цифры по поставкам и оборотам, прогнозировать сделки, потери, штрафы и в итоге манипулировать этими данными в собственных интересах. 

Взлом беспилотных ИИ  

В 2015 году, задолго до беспилотников Tesla и их аналогов от «Сбера» и «Яндекса», случился культовый взлом автомобиля Jeep. Белые хакеры (те, кто ищет проблемы в защите, чтобы решить их, а не эксплуатировать) прямо на шоссе перехватили управление машиной и чуть не довели до нервного срыва главного редактора журнала Wired, согласившегося выступить в роли жертвы. Казалось бы, тревожный знак, который должен был всех отрезвить. Но нет, автопилоты развиваются невиданными темпами. Не так давно уже имел место прецедент с Tesla, когда нарушение работы ИИ стало причиной смерти на дороге. В 2023 году мы, думаю, впервые увидим новость о взломе автопилота, которая станет причиной смерти человека. К сожалению, это только вопрос времени. 

Компаниям, занимающимся кибербезопасностью, только предстоит создать инструменты борьбы с новыми угрозами. Существующая защита спасает лишь от немногих из них — и далеко не на 100%. Все подтвердят, что даже определители спам-звонков не гарантируют, что вы будете избавлены от раздражающих разговоров якобы с полицией или службами безопасности банков. Контроль цифрового следа, определение дипфейков и просто контроль доступных в сети персональных данных — это вызовы, с которыми отрасль столкнется или уже столкнулась, но еще не придумала эффективных ответов. 

В известном боевике «Разрушитель» герой Сильвестра Сталлоне говорит: «Чтобы поймать маньяка, нужен другой маньяк». Так и в этом случае: искусственный интеллект в руках хакеров уже достиг того уровня, когда справиться с ним в одиночку, только ресурсами специалистов класса homo sapiens, невозможно. А вот через гибрид человека и машины — шанс есть.

Мнение редакции может не совпадать с точкой зрения автора