ChatGPT-risico’s zetten cybercriminaliteit op koers voor recordgroei
ChatGPT is van veel dingen beschuldigd: het creëren van een nieuwe manier waarop studenten kunnen spieken, het worden van een banenvernietiger, het creëren van een goedkope bron van slechte teksten en, mijn persoonlijke favoriet: een gevaarlijke en onheilige bedreiging voor het morele weefsel van de samenleving.
Maar mensen doen al die dingen al tientallen jaren, of zijn er voor betaald om ze te doen. OpenAI en andere aanbieders van generatieve kunstmatige intelligentie maken ze goedkoper. Voor het grootste deel belooft deze technologie een enorme hoeveelheid vervelend werk in kantoorbanen weg te nemen, net zoals weefgetouwen, productielijnen en robots dat eerder deden voor arbeidersbanen.
Zoals elk hulpmiddel of elke technologische innovatie kunnen generatieve AI-tools zowel voor grote voordelen als voor grote schade worden ingezet.
Create a Free Account to Read More
You'll also get access to a growing community of modern CFOs and finance executives accessing proven frameworks, tools, and insights to navigate AI-driven finance.
Have an account? Log In
Waar zijn grote taalmodellen (LLM's) goed in?
Door het gebruik van ChatGPT, Microsoft Bard en andere tools is het veel eenvoudiger geworden om nuttige inzichten uit prognoses te halen… maar de toepassingen gaan verder dan alleen financiën.
LLM's zijn overtuigend. Ze weten met wiskundige precisie welke combinaties van woorden mensen het meest overtuigend vinden en zijn getraind om binnen die lijnen te blijven.
Ze beschikken over een enorme kennis van feiten en details.
Ze kunnen tekst samenvatten en herformuleren in elke stijl die je kiest.
Ze zijn echter niet goed in het vertellen van de waarheid. Computers staan bekend om hun strikte beperking tot logica, maar hebben in LLM's paradoxaal genoeg het onvermogen om waarheid van fictie te onderscheiden en zijn volledig in staat om leugens te verzinnen als antwoord op vragen, om die leugens vervolgens naadloos en met volledig vertrouwen te versterken.
Wat dit voor ons betekent
Ik wil er niet te hoogdravend over doen, maar op dit moment in de geschiedenis gebeuren er dingen.
Technologische, politieke en economische ontwikkelingen zijn samengekomen en hebben veel van de indicatoren die mensen gebruiken om geloofwaardigheid te beoordelen en vertrouwen toe te kennen, onbetrouwbaar gemaakt. Net zoals neppe foto's op sociale media mensen in verwarring brachten, maken ChatGPT en andere LLM's nu deel uit van deze mix. Als samenleving zullen we ons opnieuw moeten aanpassen en nieuwe manieren moeten leren om waarheid van desinformatie te onderscheiden.
Dezelfde oude mensen, hetzelfde oude verhaal.
Hoe cyberaanvallen en phishingfraude tegenwoordig werken
Afgezien van de hoogstaande filosofie vormt de opkomst van LLM's een specifieke bedreiging voor bedrijven: het verlagen van de kosten van kwalitatief goede phishingaanvallen.
“Mensen die worden misleid” is de grootste afzonderlijke bron van concrete verliezen op het gebied van cyberbeveiliging. Terwijl de sector zich richt op technische bedreigingen en oplossingen, berust de overgrote meerderheid van succesvolle cybercriminaliteit er op enig moment in het proces op dat iemand wordt misleid.
Tegenwoordig bestaat er een bloeiende sector van callcenters die zich toeleggen op fraude en cybercriminaliteit. Ze hebben leveranciers en dienstverleners, procedures en HR, en waarschijnlijk af en toe leiderschapsretraites om een goed uitgevoerde klus te vieren. Het is een compleet geheel.
Sommige onderdelen van de fraudeketen zijn geautomatiseerd: de eerste e-mail waarin iemand op zoek is naar liefde of je vertelt over een geweldige zakelijke kans, bestaat uit gerecyclede sjablonen – je vindt dezelfde e-mail in de inbox van je buurman, misschien aangepast tijdens hun eindeloze A/B-tests voor betere conversieratio's.
Zodra jij of je buurman klikt of reageert, neemt iemand in het callcenter het over. Die persoon volgt procedures en gebruikt vaardigheden die in de loop der jaren zijn aangescherpt om de “potentiële klant” (jou) zo efficiënt mogelijk door de “verkoopfunnel” (zwendel) te loodsen en de “verkoop af te sluiten” (je op te lichten).
Deze medewerkers hebben prestatiebeoordelingen, kerncijfers, bonusstructuren en ziektedagen. Zij vormen de grootste kostenpost van het runnen van een phishingcallcenter. Net als in elk bedrijf leveren beter presterende ondernemingen en personen betere conversieratio's en inkomsten op en kunnen ze dus hogere tarieven vragen.
In de fraudemarkt vindt op natuurlijke wijze enige segmentatie plaats op basis van de verwachte “opbrengst” (het aantal dollars dat je kunt buitmaken) van doelwitten:
- Goedkope, minder goed presterende bedrijven richten zich meestal op een groter aantal doelwitten met een lage opbrengst. Dit is het fraude-equivalent van Instagram-advertenties voor goedkope prullaria met een gimmick; probeer het product aan zoveel mogelijk mensen te tonen en misschien realiseer je een paar verkopen.
- Goed presterende teams richten zich op doelwitten met een hogere opbrengst en investeren meer in elk doelwit. Dit zijn de grote B2B-accounts van de fraudewereld; doe uitgebreid onderzoek en zet je beste verkopers en medewerkers van de klantenservice erop.
Het is vanuit zakelijk oogpunt onverstandig om leads met een lage opbrengst toe te wijzen aan goed presterende teams. Daarom krijgen doelwitten met een lage opbrengst (oftewel ik en de meesten van jullie) zelden geavanceerde pogingen van bekwame fraudeurs.
Hoe LLM's het spel zullen veranderen
Laten we doornemen wat we al weten:
- AI-tools zijn goed in overtuigend klinken.
- AI-modellen zijn goed in het verwerken van een grote hoeveelheid gedetailleerde informatie uit een dataset en het produceren van iets unieks, specifieks en aannemelijks.
- Generatieve AI spreekt perfect Engels en beschikt over encyclopedische achtergrondkennis van elk onderwerp op het internet.
- De algoritmen van GPT kunnen worden afgestemd om te schrijven in de stijl van elke demografische groep.
Bovendien zijn de nadelen van AI onbeduidend voor de fraude-industrie: de waarheid doet er niet toe. Zolang het slachtoffer in de scam trapt, kan het management het niet schelen wat voor onzin het uitkraamt.
Werkt één aanpak niet? Geen zorgen, machinaal leren heeft geen ego en schakelt zonder nadenken over op iets anders (of eigenlijk zonder eerst na te denken…).
De kers op de taart? AI-tools kosten bijna niets vergeleken met een callcenter vol oplichters.
Tijdlijn tot de lancering
Helaas beweegt de misdaadwereld zich snel. Ze hoeven zich geen zorgen te maken over reputatie, er is minder bureaucratie en het is essentieel om vroeg in deze ‘markt’ aanwezig te zijn.
Een op misdaad gericht LLM-product, WormGPT, is al populair genoeg geworden om het reguliere nieuws te halen vanwege zijn AI-chatbot die malware ondersteunt. Andere zijn ongetwijfeld ook beschikbaar en het zal niet lang duren voordat concurrentiedruk en het delen van best practices de operationele kosten voldoende hebben verlaagd om phishing met behulp van LLM’s de dominante methode te maken om dingen gedaan te krijgen.
Laten we even stilstaan bij de medewerker van de fraudeoperatie die binnenkort werkloos zal zijn.
Terwijl de phishingindustrie de komende jaren deze transformatie ondergaat, zullen de kosten voor het runnen van een geavanceerde phishingoperatie sterk dalen. Daardoor zullen de nu autonome ‘topverkopers’ en andere cybercriminelen zich gaan richten op kansen met een lagere opbrengst. Veel meer van ons zullen worden blootgesteld aan een vloedgolf van phishing van hoge kwaliteit en velen zullen erin trappen.
Tijd om authenticatieprotocollen te veranderen
Door phishingfraude en hackers die toegang krijgen tot accounts, hebben velen van ons geleerd om berichten die we via e-mail en sms ontvangen met een korreltje zout te nemen. Ik en andere experts raden vaak aan om de telefoon te gebruiken om vertrouwelijke informatie te verifiëren die nodig is bij risicovolle activiteiten, zoals transacties van hoge waarde; notariskantoren en advocatenkantoren gebruiken deze strategie al jaren met succes.
Ik geloof dat dit niet zal blijven werken. Geloofwaardige, door LLM’s gegenereerde telefoongesprekken zijn al niet ver meer weg. Bestaande producten kunnen stemfragmenten gebruiken om audio te maken van iedereen die alles zegt. Op het moment dat ik dit artikel schrijf, werkt dit nog niet in realtime; het duurt even om elke clip te genereren. Gelukkig zullen de meesten van ons zich niet laten misleiden door vertragingen van vijf of tien seconden in een gesprek, hoe sterk de beller ook klinkt als Johnny Cash.
Maar computers en technologie hebben de merkwaardige eigenschap steeds sneller te worden. Ik heb er alle vertrouwen in dat stapsgewijze vooruitgang in AI-tools voor stemgeneratie en verwerkingssnelheid ervoor zal zorgen dat bellen met behulp van LLM’s binnen tien jaar een alledaags product wordt. We zullen binnenkort niet meer aan iemands stem alleen kunnen horen of die persoon legitiem is; een kans die kwaadwillenden niet kunnen laten liggen.
Zien betekent misschien niet geloven
Stemsynthetisatie is niet de enige software voor imitatie die in ontwikkeling is; het genereren van een geloofwaardige video van iemand op basis van eerdere opnamen is al mogelijk (en wordt steeds beter). Video is aanzienlijk moeilijker dan stem – geloofwaardige clips kosten doorgaans vele uren, aanzienlijke vaardigheid en vakmanschap van een expert.
Maar net als bij audiosynthese is de ontwikkeling van een geautomatiseerde versie in realtime slechts een kwestie van jaren. Het kan een paar decennia duren, vooral voordat het goedkoop genoeg wordt voor misdaadbendes, maar het komt er.
Volgende stappen voor organisatorische veiligheid
Ben je voorbereid op een wereld waarin elke virtuele communicatie nep kan zijn? Is gegevensprivacy dood? Stevenen we af op de ineenstorting van de beschaving en een terugkeer naar het stenen tijdperk?
Niet helemaal.
Wiskunde schiet te hulp
Vandaag de dag gebruiken we stem, uiterlijk en maniertjes om iemand te identificeren. In termen van cyberbeveiliging authenticeren deze factoren die persoon voor ons; we gebruiken ze om te bepalen of de persoon die tegen ons spreekt echt degene is die hij of zij beweert te zijn. We vertrouwen op deze strategie zonder erbij na te denken en de afgelopen 7000+ jaar heeft die uitstekend gewerkt.
Deze nieuwe realiteit van LLM’s en door AI gegenereerde imitatie dreigt ons van die mogelijkheid te beroven. We zullen die moeten vervangen door een andere manier om te authenticeren wanneer we online communiceren.
Hier is hoop: we hebben andere technieken die werken, ze zijn alleen nog niet populair. De authenticatietechnologie die in de afgelopen twee decennia op wiskunde is gebaseerd, zal niet door deze veranderingen worden beïnvloed en is al goedkoop en eenvoudig. Veel systemen zijn er al van afhankelijk zonder dat gebruikers het beseffen. Het verlies van virtuele herkenning kan velen ertoe aanzetten over te stappen op cryptografisch rigoureuze authenticatie en afstand te nemen van zwakke methoden zoals een gewoon telefoongesprek of Zoom.
Vertel me iets goeds
Ten goede of ten kwade zal de samenleving zichzelf wel redden. Gelukkig kun je een actievere rol spelen in de toekomst van je bedrijf en voorkomen dat deze bedreiging je bedrijf raakt. Het is niet eens zo moeilijk.
Verplaats eerst alle gevoelige informatie achter een gefedereerde en cryptografisch rigoureuze identiteitsprovider. Maak vervolgens binnen je bedrijf duidelijk dat je daarop moet vertrouwen, in plaats van te volstaan met het herkennen van mensen aan hun schrijfstijl of stem.
En tot slot kun je je richten op waar je het beste in bent en anderen, zoals ik, de rest laten lezen. Abonneer je op de nieuwsbrief van The CFO Club als je als eerste wilt weten wanneer ik de volgende bedreiging voor de samenleving ontdek.
