Η προηγμένη τεχνολογία AI δημιουργεί μια νέα απειλή. Ανακαλύψτε πώς ψεύτικες αναφορές από LLMs κατακλύζουν τα bug bounty και θέτουν σε κίνδυνο την κυβερνοασφάλεια.
Η ραγδαία εξέλιξη της AI τεχνολογίας έφερε μια επανάσταση, αλλά και νέες, σημαντικές προκλήσεις στον ψηφιακό κόσμο. Ένα από τα πιο ανησυχητικά φαινόμενα είναι η λεγόμενη «σαβούρα» του AI (AI slop).
Πρόκειται για περιεχόμενο χαμηλής ποιότητας (εικόνες, βίντεο και κείμενα) που παράγεται μαζικά από μεγάλα γλωσσικά μοντέλα (LLM) και έχει κατακλύσει το διαδίκτυο τα τελευταία δύο χρόνια. Το φαινόμενο αυτό «μολύνει» ένα ευρύ φάσμα πλατφορμών και μέσων, όπως:
Ο κόσμος της κυβερνοασφάλειας δεν μένει ανεπηρέαστος, με την ελληνική και ευρωπαϊκή κοινότητα να παρακολουθεί με προβληματισμό. Τον τελευταίο χρόνο, επαγγελματίες εκφράζουν σοβαρές ανησυχίες για αναφορές ευπαθειών σε προγράμματα bug bounty που δεν είναι τίποτα άλλο παρά «σαβούρα» του AI.
Αυτές είναι ψευδείς αναφορές που ισχυρίζονται ότι εντόπισαν ευπάθειες οι οποίες στην πραγματικότητα δεν υπάρχουν. Δημιουργούνται από ένα προηγμένο μεγάλο γλωσσικό μοντέλο που απλώς τις «εφηύρε» (hallucinated) και τις παρουσίασε μέσα σε ένα επαγγελματικά δομημένο κείμενο. Το αποτέλεσμα είναι η σπατάλη πολύτιμου χρόνου και πόρων από τις ομάδες ασφαλείας.
Η πρόκληση αυτή αναδεικνύεται από κορυφαίους ειδικούς του χώρου, όπως ο Vlad Ionescu, συνιδρυτής και CTO της RunSybil, μιας startup που αναπτύσσει «κυνηγούς» ευπαθειών με την υποστήριξη AI.
«Οι άνθρωποι λαμβάνουν αναφορές που ακούγονται λογικές, φαίνονται τεχνικά σωστές. Και έπειτα, καταλήγεις να τις ερευνάς σε βάθος, προσπαθώντας να καταλάβεις, “ωχ, πού βρίσκεται αυτή η ευπάθεια;”», δήλωσε στο TechCrunch.
«Αποδεικνύεται ότι ήταν απλώς μια παραίσθηση (hallucination) από την αρχή. Οι τεχνικές λεπτομέρειες ήταν απλώς επινοημένες από το LLM», πρόσθεσε ο Ionescu.
Ο Ionescu, ο οποίος στο παρελθόν εργαζόταν στη red team της Meta με αποστολή το hacking της ίδιας της εταιρείας εκ των έσω, εξήγησε ότι ένα από τα βασικά ζητήματα είναι πως τα LLMs είναι σχεδιασμένα να είναι εξυπηρετικά και να δίνουν πάντα θετικές απαντήσεις.
«Αν του ζητήσεις μια αναφορά, θα σου δώσει μια αναφορά. Και μετά, οι άνθρωποι απλώς την κάνουν αντιγραφή-επικόλληση στις πλατφόρμες bug bounty και κατακλύζουν τις ίδιες τις πλατφόρμες, κατακλύζουν τους πελάτες, και φτάνεις σε αυτή την απογοητευτική κατάσταση. Αυτό είναι το πρόβλημα που αντιμετωπίζουν όλοι: λαμβάνουμε πολύ υλικό που μοιάζει με χρυσό, αλλά στην πραγματικότητα είναι απλώς σκουπίδια».
Μόνο τον τελευταίο χρόνο, υπήρξαν απτά παραδείγματα αυτού του φαινομένου που επιβεβαιώνουν την έκταση του προβλήματος.
Αυτό το περιστατικό υπογραμμίζει πώς ακόμη και τεχνικά έμπειρες ομάδες αναγκάζονται να διαχειρίζονται αυτόν τον νέο όγκο παραπληροφόρησης. Το μέλλον της κυβερνοασφάλειας απαιτεί καινοτομία και νέα εργαλεία για την αντιμετώπιση των προκλήσεων που φέρνει η εποχή της ΑΙ.
