ChatGPT-risici baner vejen for rekordstor vækst i cyberkriminalitet

ChatGPT er blevet beskyldt for mange ting: at skabe en ny måde, hvorpå studerende kan snyde, at blive en jobdræber, at skabe en billig kilde til dårlig tekst og – min personlige favorit – at være en farlig og ugudelig trussel mod samfundets moralske struktur.

Men folk har gjort, eller er blevet betalt for at gøre, alle disse ting i årtier. OpenAI og andre udbydere af generativ kunstig intelligens gør dem billigere. For det meste lover teknologien at eliminere en enorm mængde rutinearbejde i kontorarbejde, ligesom væve, samlebånd og robotter tidligere gjorde det for manuelt arbejde.

Som med ethvert værktøj eller enhver teknologisk innovation har generative AI-værktøjer potentiale til at blive brugt til stor gavn og stor skade.

Hvad er store sprogmodeller (LLM'er) gode til?

Brugen af ChatGPT, Microsoft Bard og andre værktøjer har gjort det meget lettere at udlede nyttige indsigter fra prognoser … men anvendelsesmulighederne rækker ud over økonomi.

LLM'er er overbevisende. De ved med matematisk præcision, hvilke kombinationer af ord folk finder mest overbevisende, og de er trænet til at holde sig inden for disse rammer. 

De har en enorm viden om fakta og detaljer. 

De kan opsummere og omformulere tekst i enhver stil, du vælger.

De er dog ikke gode til at fortælle sandheden. Computere, der er kendt for deres strenge begrænsning til logik, har paradoksalt nok i LLM'er en manglende evne til at skelne sandhed fra fiktion og er fuldt ud i stand til at opdigte løgne som svar på spørgsmål og derefter uden problemer underbygge disse løgne med fuldstændig selvsikkerhed.

Hvad det betyder for os

Jeg vil ikke gøre det hele alt for højtravende, men på dette tidspunkt i historien sker der ting. 

Tekniske, politiske og økonomiske udviklinger er gået sammen om at forvirre mange af de indikatorer, folk bruger til at vurdere troværdighed og udvise tillid. Ligesom falske fotos på sociale medier forvirrede folk, er ChatGPT og andre LLM'er nu en del af blandingen. Som samfund bliver vi endnu en gang nødt til at tilpasse os og lære nye måder at skelne sandhed fra misinformation på. 

De samme gamle mennesker, den samme gamle historie.

Sådan fungerer cyberangreb og phishing-svindel i dag

Bortset fra den højtflyvende filosofi udgør fremkomsten af LLM'er en særlig trussel mod virksomheder: den sænker omkostningerne ved phishingangreb af høj kvalitet.

“Folk, der bliver narret”, er den enkeltstående største kilde til praktiske cybersikkerhedstab. Mens branchen fokuserer på tekniske trusler og løsninger, bygger langt størstedelen af vellykket cyberkriminalitet på at narre nogen på et eller andet tidspunkt i processen.

I dag findes der en blomstrende industri af callcentre dedikeret til svindel og cyberkriminalitet. De har leverandører og underleverandører, procedurer og HR samt sandsynligvis lejlighedsvise lederseminarer for at fejre veludført arbejde. Det er noget helt for sig.

Nogle dele af svindelkæden er automatiserede: Den indledende e-mail, der leder efter kærlighed eller fortæller dig om en fantastisk forretningsmulighed, er genbrugte skabeloner – du finder den samme e-mail i din nabos indbakke, måske justeret i deres endeløse A/B-test for at opnå bedre konverteringsrater.

Når du eller din nabo klikker eller svarer, overtager en person i callcentret, følger procedurerne og bruger færdigheder, der er finpudset gennem årene, til at føre “kundeemnet” (dig) gennem “salgstragten” (svindlen) og “afslutte salget” (bedrage dig) så effektivt som muligt. 

Disse medarbejdere har præstationsvurderinger, nøgletal, bonusstrukturer og sygedage. De er den største omkostning ved at drive et phishing-callcenter. Ligesom i enhver anden virksomhed giver virksomheder og enkeltpersoner med bedre resultater bedre konverteringsrater og indtægter og kan derfor tage højere priser.

Der sker en vis naturlig segmentering på svindelmarkedet baseret på det forventede “udbytte” (de beløb, du kan svindle) fra målene: 

• Virksomheder med lave omkostninger og lav ydeevne går normalt efter et større antal mål med lavt udbytte. Det er svindelverdenens svar på Instagram-annoncer for smarte småting til lave priser; prøv at få det vist til så mange mennesker som muligt, så får du måske nogle få salg.
• Højtydende teams går efter mål med højere udbytte og investerer mere i hvert enkelt. Det er svindelverdenens store B2B-kunder; lav omfattende research, og sæt dine bedste salgs- og kundeservicemedarbejdere på sagen.

Det giver dårlig forretningsmæssig mening at tildele kundeemner med lavt udbytte til højtydende teams, så mål med lavt udbytte (dvs. mig og de fleste af jer) udsættes sjældent for sofistikerede forsøg udført af dygtige svindlere.

Sådan vil LLM'er ændre spillet

Lad os gennemgå, hvad vi allerede ved:

• AI-værktøjer er gode til at lyde overbevisende. 
• AI-modeller er gode til at fordøje en masse detaljerede oplysninger fra et datasæt og spytte noget unikt, specifikt og plausibelt ud. 
• Generativ AI behersker engelsk perfekt og har encyklopædisk baggrundsviden om alle emner på internettet. 
• GPT’s algoritmer kan finjusteres til at skrive i enhver demografisk gruppes stil.

Hvad mere er, er ulemperne ved AI uden betydning for svindelindustrien: Sandheden er ligegyldig. Så længe offeret falder for svindlen, er ledelsen ligeglad med, hvilket vrøvl den kommer med. 

Virker én tilgang ikke? Bare rolig, maskinlæring har ikke noget ego; den ændrer bare strategi uden at tænke sig om (eller tænke først, for den sags skyld…).

Og prikken over i’et? AI-værktøjer koster næsten ingenting sammenlignet med et callcenter fyldt med svindlere.

Tidsplan for lancering

Desværre bevæger kriminalitetens verden sig hurtigt. De behøver ikke bekymre sig om omdømme, der er mindre bureaukrati, og det er afgørende at være først på dette “marked”. 

Ét kriminalitetsfokuseret LLM-produkt, WormGPT, er allerede blevet populært nok til at nå ud i de almindelige nyheder på grund af sin malwarevenlige AI-chatbot. Der findes uden tvivl også andre, og der går ikke lang tid, før konkurrencepres og deling af bedste praksis presser driftsomkostningerne langt nok ned til, at phishing understøttet af LLM’er bliver den dominerende metode til at få ting gjort.

Lad os tage et øjeblik for den snart arbejdsløse medarbejder inden for svindeldrift.

Efterhånden som phishingindustrien gennemgår denne transformation i løbet af de næste år, vil omkostningerne ved at drive en sofistikeret phishingoperation falde drastisk, hvilket får de nu autonome “topsælgere” og andre cyberkriminelle til at begynde at målrette muligheder med lavere udbytte. Mange flere af os vil blive udsat for en strøm af phishing af høj kvalitet, og mange vil falde for det.

Tid til at ændre godkendelsesprotokoller

På grund af phishing-svindel og hackere, der bryder ind på konti, har mange af os lært at tage beskeder modtaget via e-mail og sms med et gran salt. Jeg og andre eksperter anbefaler ofte at bruge telefonen til at bekræfte fortrolige oplysninger, der er nødvendige i risikofyldte aktiviteter som transaktioner af høj værdi; ejendomsselskaber og advokatfirmaer har med succes brugt denne strategi i årevis.

Jeg tror, at det vil holde op med at virke. Troværdige telefonopkald genereret af LLM’er er allerede lige om hjørnet. Eksisterende produkter kan bruge stemmeprøver til at skabe lyd af enhver person, der siger hvad som helst. På det tidspunkt, hvor denne artikel skrives, fungerer det ikke i realtid; det tager et stykke tid at generere hvert klip. Heldigvis vil de fleste af os ikke lade os narre af forsinkelser på fem eller ti sekunder i en samtale, uanset hvor meget den, der ringer, lyder som Johnny Cash.

Men computere og teknologi har en sjov måde at blive hurtigere på. Jeg er helt overbevist om, at gradvise fremskridt inden for AI-værktøjer til stemmegenerering og behandlingshastighed vil gøre opkald understøttet af LLM’er til et standardprodukt inden for et årti. Vi vil snart miste evnen til at vide, om en person er ægte, alene ud fra vedkommendes stemme; en mulighed, som ondsindede aktører ikke kan lade gå fra sig.

Det, man ser, er måske ikke noget, man kan tro på

Stemmesyntese er ikke den eneste software til efterligning, der er under udvikling; det er allerede muligt at generere en overbevisende video af en person baseret på tidligere optagelser (og teknologien bliver bedre). Video er betydeligt sværere end stemme – overbevisende klip kræver normalt mange timers arbejde, betydelige færdigheder og kunstnerisk kunnen fra en ekspert.

Men ligesom med lydsyntese er udviklingen af en automatiseret version i realtid kun et spørgsmål om år. Det kan tage et par årtier, især før den bliver billig nok til kriminelle netværk, men den kommer.

Næste skridt for organisatorisk sikkerhed

Er du forberedt på en verden, hvor al virtuel kommunikation kan være falsk? Er databeskyttelse død? Er vi på vej mod civilisationens sammenbrud og en tilbagevenden til stenalderen?

Ikke helt.

Matematikken kommer til undsætning

I dag bruger vi stemme, udseende og manerer til at identificere en person. Med cybersikkerhedens terminologi godkender disse faktorer vedkommende over for os; vi bruger dem til at afgøre, om den person, der taler med os, virkelig er den, vedkommende siger, at han eller hun er. Vi er afhængige af denne strategi uden at tænke over det, og i de sidste 7000+ år har den fungeret fremragende.

Denne nye virkelighed med LLM’er og AI-genereret efterligning lover at fjerne denne mulighed. Vi bliver nødt til at erstatte den med en anden måde at godkende personer på, når vi kommunikerer online.

Her er der håb: Vi har andre teknikker, der virker, de er bare ikke populære endnu. Den matematikbaserede godkendelsesteknologi, der er blevet udviklet gennem de seneste to årtier, vil ikke blive påvirket af disse ændringer, og den er allerede billig og nem at bruge. Mange systemer er allerede afhængige af dem, uden at brugerne er klar over det. Tabet af virtuel genkendelse kan få mange til at gå over til kryptografisk stringent godkendelse og væk fra svage metoder som et almindeligt telefonopkald eller Zoom.

Fortæl mig noget godt

På godt og ondt vil samfundet finde ud af det. Heldigvis kan du tage en mere aktiv rolle i din virksomheds fremtid og forhindre, at denne trussel påvirker din virksomhed. Det er ikke engang så svært. 

Flyt først alle følsomme oplysninger bag en fødereret og kryptografisk stringent identitetsudbyder. Gør det derefter klart i din virksomhed, at medarbejderne skal være afhængige af den i stedet for at nøjes med at genkende personer ud fra skrivestil eller stemme. 

Og til sidst kan du fokusere på det, du er bedst til, og lade andre, som mig, læse om resten. Abonnér på The CFO Clubs nyhedsbrev, hvis du vil være den første til at vide, når jeg opdager den næste trussel mod samfundet.