Het gebruik van generatieve AI (artificial intelligence) wordt door de opkomst van ChatGPT steeds gangbaarder. De angst bij cyber- securityprofessionals is groot dat dit leidt tot meer cyberaanvallen. Is dit ook zo? En hoe werkt ChatGPT? Betty Rombout vroeg het cyberexpert Pieter Jansen.
We vragen aan Pieter Jansen hoe groot het gevaar is van ChatGPT. Hij is cybersecurity-expert bij Darktrace, een wereldwijd bedrijf voor kunstmatige intelligentie voor cyberdefensie. “Samen met een team ben ik verantwoordelijk voor wereldwijde cyberinnovatie. Wat gebeurt er in de wereld? Waar hebben onze klanten mee te maken? Hoe kunnen we onze producten verbeteren? En hoe kunnen we klanten behoeden voor aanvallen in de toekomst?”
Jansen: “Binnen het domein van AI is er continu ontwikkeling. ChatGPT is de eerste publieke interface in het AI-model. Iedereen kan er gebruik van maken. Het is gratis beschikbaar. In november 2022 werd het gelanceerd door een aantal zakenmannen en -vrouwen uit Amerika.”
Hoe werkt kunstmatige intelligentie? Het antwoord volgens ChatGPT
Kunstmatige intelligentie, ook wel bekend als AI is de wetenschap van het maken van computers en machines die in staat zijm dingen te doen die normaal gesproken alleen mensen kunnen doen, zoals het oplossen van problemen, het maken van beslissingen en het leveren van nieuwe dingen. AI wordt nu al op veel verschillende manieren gebruikt in het dagelijks leven, zoals in semassisten, spraakherkenningstech- nologie, autonome voertuigen en ziekenhuizen. Het doel van AI is om mensen te helpen bij het uitvoeren van taak en het oplossen van problemen, en om ons leven gemakkelijker en efficiënter te maken.
Positief en negatief
Chat GPT is dus een gratis chatbot die dankzij kunstmatige intelligentie teksten kan schrijven. ChatGPT staat voor Generative Pre-training Transformer. Dat betekent zoveel als een getrainde chat met oneindig veel informatie. Het schrijft artikelen, werkstukken of tweets voor je uit zodat jij dat niet hoeft te doen. “Dat klinkt interessant, zeker voor startups”, zegt Jansen. “Je ziet een grote golf van innova- ties ontstaan op basis van ChatGPT. Ik zie de meeste activiteiten rondom de personal assistant-functie, denk ook aan Siri. Het model bedenkt ter plekke wat het beste antwoord is op de vraag die je op dat moment hebt. Dat is de positieve kant van ChatGPT.”
Jansen vervolgt: “De negatieve kant is dat kwaadwillenden misbruik kunnen maken van ChatGPT. Veel mensen hebben er toegang toe en beseffen dat je er zakelijk ook iets mee kunt doen. Een presentatie maken bijvoorbeeld; je vraagt ChatGPT eenvoudig om hulp. Men deelt echter ook vaak bedrijfsgegevens met ChatGPT. Gegevens die gedeeld worden door ChatGPT, zijn niet beschermd door Europese privacywetgeving en kunnen dus eenvoudig ingezien worden. Al zul je je beveiliging wel op orde hebben, hier moet je voorzichtig mee zijn. Daar zit dus een risico.”
Pieter Jansen: “De mens is de zwakste schakel, zegt men. Maar dat geloof ik niet.”
Meer phishing?
Verder is de angst groot bij cybersecurityprofessionals dat ChatGPT leidt tot meer phishingaanvallen. Uit onderzoek van Darktrace blijkt dat we ons geen zorgen hoeven te maken over het volume, maar wel over de complexiteit van phishingmails. Jansen: “We zien dat de complexiteit van phishing-e-mails toeneemt, wat kan betekenen dat cybercriminelen zich op Business Email Compromise-aan- vallen (BEC) richten en minder op traditionele aanvallen waarbij de focus ligt op het klikken op kwaadaardige links of malware.”
De focus verschuift van de kwantiteit naar de kwaliteit van phishingmails
BEC is een type cybermisdaad waarbij de scammer e-mail gebruikt om iemand over te halen geld over te maken of vertrouwelijke bedrijfsgegevens te verstrekken. De dader doet zich voor als een vertrouwd persoon en vraagt vervolgens om betaling van een neprekening of om gevoelige gegevens die ze in een andere scam kunnen gebruiken. Kortom, het onderzoek toont aan dat met de lancering van ChatGPT het aantal aanvallen via mails waarbij het slachtoffer wordt overgehaald om op kwaad- aardige links te klikken, gedaald is van 22 procent naar 14 procent. Tegelijkertijd is de gemiddelde taalkundige complexiteit van phishing-mails met 17 procent toegenomen. “Je zou kunnen stellen dat cybercriminelen hun focus verleggen van de kwantiteit naar de kwaliteit van phishing- e-mails”, aldus Pieter Jansen.
Zwakste schakel
Zijn ChatGPT-aanvallen te voorkomen? Jansen legt uit: “De mens is de zwakste schakel, zegt men. Maar dat geloof ik niet. Met techniek kunnen we het mensen zo gemakkelijk mogelijk maken. Blijft er toch iets over, dan moet de gebruiker in staat zijn het te herkennen. Veel bestaande e-mailsecurity-oplossingen kunnen prima met de bestaande aanvallen overweg. Ze zijn gebaseerd op machine learning. Het zijn vaak oude aanvallen die hergebruikt worden. De risico’s die we nu krijgen met AI-tools die in handen zijn van aanvallers, is dat zij compleet nieuwe aanvallen kunnen genereren, die nooit eerder gezien zijn. De ‘normale’ securitymiddelen zullen deze aanvallen niet tegenhouden, daar moet je als securitymanager rekening mee houden.
ChatGPT haalt informatie van je op van LinkedIn, Twitter en Facebook. Dat brengt gevaar met zich mee.
”ChatGPT, het moge duidelijk zijn, is moeilijk te herkennen. Wanneer ChatGPT toegang heeft tot het internet, wordt het een zelflerende interface die exact weet hoe je communiceert met anderen. Het haalt informatie van jou op uit LinkedIn, Twitter en Facebook. Dat brengt gevaar met zich mee. “Laat mensen daarom altijd even checken of het logisch is dat zij een bepaalde e-mail krijgen. Overall geldt: kijk goed naar wat je als bedrijf hebt aan mailbeveiliging en of dat nog effectief is. Ten tweede, maak mensen bewust van het feit dat er zoiets bestaat als ChatGPT. Gaat een e-mail over grote bedragen, dan dus altijd even checken”, aldus Jansen.
Betty Rombout is freelance journalist
Lees ook:
- EU-parlement stemt in met wetgeving ChatGPT en andere AI
- Van ChatGPT naar HackGPT
- AP vraagt om opheldering over ChatGPT
tel.: 030-4100677.
Volg Security Management op LinkedIn
