Tecnologias de geração em inteligência artificial, como o ChatGPT, DALL-E da OpenAI e o CoPilot da Microsoft, criaram uma ruptura em grande parte de nossas vidas digitais. Criando textos, imagens e até áudio confiáveis, e essas ferramentas de IA podem ser usadas para o bem e para o mal. Isso inclui sua aplicação no espaço de segurança cibernética.
Embora possamos trabalhar com ferramentas de validação integradas a IA na segurança cibernética – este é uma nova vertente de defesa das redes dos clientes – sabemos de golpistas utilizando a IA para que rompem a barreira linguística das fraudes criadas, ou seja, não é mais necessário que eles sejam poliglotas e possam usar ferramentas de tradução, pois a IA embarcada no golpe trata de traduzir georeferenciadamente para o alvo do golpe a fraude aplicada. Isso atinge não só os e-mails inconvenientes que recebemos, mas, a combinação destas ferramentas de IA possibilita a utilização em plataformas de comunicação como WhatsApp e até mesmo em ligações telefônicas.
A fusão dessas tecnologias elevou os golpes virtuais a um nível onde a simples conferência humana da veracidade de uma informação, URL, ligação telefônica ou mensagem recebida não é mais tão eficiente, precisamos hoje, também, de uma combinação de ferramentas ligadas a IA para que se possa avaliar corretamente a fonte da informação recebida, pois, é factível que através das ferramentas disponíveis se possa criar uma centena de sites, textos e imagens que atinjam inclusive as mídias sociais para prover veracidade a fraude, que através de aplicativos como facebook, instagram, tiktok entre outras o golpe possa criar automaticamente mensagens, textos e imagens que reforcem umas as outras, tornando cada vez mais difícil ao alvo identificar um golpe em potencial.
Abaixo um exemplo retirado do post escrito por Younghoo Lee e Ben Gelman, da Sophos Labs
(The Dark Side of AI: Large-Scale Scam Campaigns Made Possible by Generative AI – Sophos News).
“Empregamos o Auto-GPT para orquestrar nossa campanha de golpe, implementando os seguintes cinco agentes responsáveis por vários componentes. Ao delegar tarefas de codificação a um LLM, geração de imagem a um modelo de difusão estável e geração de áudio a um modelo WaveNet, a tarefa de ponta a ponta pode ser totalmente automatizada pelo Auto-GPT.
Agente de dados: gerando arquivos de dados para a loja, proprietário e produtos usando GPT-4.
Agente de imagem: geração de imagens utilizando um modelo de difusão estável.
Agente de áudio: geração de arquivos de áudio do proprietário usando o WaveNet do Google.
Agente da interface do usuário: gerando código usando GPT-4.
Agente de publicidade: geração de posts usando GPT-4.
A figura a seguir mostra a meta do agente Image e seus comandos e imagens gerados. Ao estabelecer metas diretas de alto nível, o Auto-GPT gerou com sucesso as imagens convincentes da loja, do proprietário e dos produtos.”
A imagem 3: Loja de perfumes gerada por IA e suas páginas de login e checkout falsas.
A imagem 4: Loja de almofadas geradas por IA.
Embora saibamos que IA é fonte de uma infinidade de recursos auxiliares ao cotidiano de muita gente, entendemos também que é auxiliar na construção de fraudes quase imperceptíveis e a escala de crescimento deste tipo de golpe tem uma ascendente vertiginosa que oferece complexidade para reconhecermos a potencialidade de fraude. Portanto, lançamos mão de várias técnicas aliadas a IA de autogeração que automatizam os esforços em barrar tais golpes para o usuário comum, onde a sofisticação do que foi gerado exigiria usuários tecnologicamente mais avançados para o reconhecimento.
Esperamos assim que a automação dos processos de identificação de fraude que usamos possa elevar nossas operações de segurança para neutralizar efetivamente as ameaças partindo de ferramentas de IA disponíveis, e, temos ciência da tangibilidade destes novos modelos de geração de fraudes cibernéticas.
Fonte: The Dark Side of AI: Large-Scale Scam Campaigns Made Possible by Generative AI – Sophos News
Cristiano de Morais Lima
Eng.º de Infraestrutura de TI e Arquiteto em Segurança Cibernética