¿Puede ChatGPT convertirse en una amenaza a nuestra ciberseguridad?

La compañía de investigación de inteligencia artificial OpenAI anunció la semana pasada la última versión de ChatGPT, GPT-4, que consigue ser más rápida, precisa y humana. ChatGPT es un chatbot que sorprendió al mundo a finales del año pasado por su capacidad para mantener una conversación y contestar preguntas como lo haría una persona. Este sistema con inteligencia artificial (IA) se ha hecho viral gracias a la manera tan natural en la que se expresa y a sus respuestas acertadas, lo que hace muy difícil identificar que el texto no haya sido escrito por un humano. A raíz de su popularidad, se están ideando muchos nuevos usos para ChatGPT, como solicitar trabajo o escribir artículos, y esto no ha pasado desapercibido para los ciberdelincuentes.

Correos electrónicos de phishing escritos por IA

Como suele ocurrir cuando hay un nuevo desarrollo de la tecnología, los atacantes buscan rápidamente la forma de aprovecharse de ello. Con la introducción de ChatGPT, una de las principales preocupaciones estaba en su uso para ataques de phishing.

“Ahora mismo, con sus capacidades actuales, esta preocupación es una exageración”, aclara Ryan Kalember, vicepresidente ejecutivo de estrategia de ciberseguridad de Proofpoint. “Muchos correos electrónicos de ingeniería social no están diseñados para ser perfectos, sino que están deliberadamente mal escritos para que sea más probable que la gente los abra. Además, esto solo es una parte del ataque, ya que su éxito no depende únicamente de esto”.

Un chatbot de este tipo sólo podría ayudar a crear un asunto o cuerpo de texto convincente; aun así, cualquier sistema de detección antiphishing está preparado para analizar tanto el mensaje de un email como sus archivos adjuntos y enlaces. Incluso en casos en los que la víctima abriese el correo, hay mucha más información a la que el ciberdelincuente necesita acceder. Por lo tanto, el uso de ChatGPT no marcaría una gran diferencia.

Malware cifrado por un chatbot

“El malware escrito por ChatGPT no evade sistemas EDR (Endpoint Detection Response) de protección de equipos o infraestructuras, ni infecta una máquina de forma más eficaz que otras herramientas ya existentes. Un hacker necesita algo que funcione una y otra vez; y esta tecnología no puede rotar constantemente su infraestructura, dominios y elementos para evitar ser captada por expertos en ciberseguridad”, comenta Kalember.

Un operador de malware no solo tiene que distribuirlo, sino que también tiene que vender el acceso al mismo. Un chatbot no puede automatizar ese trabajo, porque no está creado con ese fin. Para tener un impacto real en este ámbito, ChatGPT tendría que evolucionar hasta superar a las herramientas existentes que sí han sido desarrolladas durante años para ello. Aunque avanza muy rápido, de momento no es útil para cifrar o distribuir malware de manera exitosa.

“Dado que ChatGPT es gratuito y fácilmente accesible, no es raro que haya llamado la atención de ciberdelincuentes, pero su importancia es cuestionable. En el futuro, los atacantes podrían utilizar este sistema de chat para mejorar la gramática o llevar a cabo ataques de ingeniería social en los que haya una conversación prolongada con la víctima, pero esto no les daría ninguna ventaja frente a los sistemas de detección de ciberataques. ChatGPT no sustituye ni mejora considerablemente las herramientas desarrolladas hasta ahora, ni cambia la naturaleza de los ataques”, concluye el experto.