Esta es una investigación de CyberBrainers, que en primera instancia iba a publicarse en el blog de la compañía.
La tecnología de estos últimos meses, sin lugar a dudas, han sido las GANs, las redes generativas antagónicas detrás de servicios como Stable Diffusion, Dall-E o ChatGPT.
De hecho, este último ha sido el servicio de mayor crecimiento de la historia de la humanidad. Muy por encima de otros proyectos como WhatsApp, Instagram o incluso TikTok.
De pronto, millones de personas han corrido a preguntarle a la IA detrás de ChatGPT sobre cualquier tema, sorprendiéndose de que las respuestas casi parecerían haber sido creadas por humanos.
Sin embargo, y como bien repasamos en un artículo reciente en mi blog, no hay que olvidar que estas inteligencias artificiales no son conscientes, y que por tanto, su respuesta puede parecer real… aunque no esté basada en información contrastada.
Que, dicho de malas maneras, podríamos presuponer que nos mienten. De una forma muy elegante, pero si es necesario inventarse parte del contexto para que la respuesta parezca más correcta, lo hacen.
Así pues, nos ha parecido interesante desde CyberBrainers poner a prueba a ChatGPT, imaginándonos cómo podríamos utilizarla para hacer el mal.
Y se nos han ocurrido estas maneras:
Índice de contenido
1.- Campañas de phishing
Quizás una de las principales ventajas que tenemos las personas de habla hispana es que buena parte de las campañas de phishing, como ya explicamos en este otro artículo, son escritas por personas que NO saben español, y por ende, no es raro que cometan faltas de ortografía o errores sintácticos básicos.
Sin embargo, gracias a algo como ChatGPT, y en apenas medio minuto, he podido crear un email que perfectamente podríamos utilizar para realizar un ataque de phishing a miles de víctimas, al estar perfectamente redactado.
Fíjate que hasta me ha creado el asunto y me avisa dónde debo poner tanto la imagen de la marca, como la URL maliciosa en cuestión, para que el phishing sea lo más efectivo posible.
2.- Usurpación de identidad
No hace mucho explicamos por aquí cómo los cibercriminales consiguen robar perfiles en redes sociales como los de Youtube, Instagram o Twitter.
En este último caso, un cibercriminal podría robar una cuenta verificada, para luego cambiarle el nombre y la imagen por algún personaje famoso, como puede ser el Presidente de España, y usar su imagen para, por ejemplo, fomentar la compra de un supuesto criptoactivo que es falso.
Esto mismo es lo que le he pedido a ChatGPT que me redactase, y como puedes ver, no lo ha hecho nada mal.
3.- Soporte al cliente/víctima vía servicios de mensajería
Recordemos que ChatGPT ofrece una API pública para que se desarrollen aplicaciones de terceros usando todo su potencial de IA.
No sería raro que de aquí a un tiempo empiecen a llegarnos ataques automatizados que usan ChatGPT como chat, haciéndose pasar por un potencial equipo de soporte de alguna supuesta empresa, redirigiendo así a las víctimas, que pensarían que estarían en efecto hablando con un operario de carne y hueso.
4- Creación de fake news
¿Y si le pedimos a ChatGPT que nos redacte noticias que podamos utilizar para alienar a un porcentaje de la sociedad contra otro, aunque sean falsas?
¡Vamos a ello!
Le pido que me genere una noticia falsa, y me contesta lo siguiente
Vale, esta vez no ha colado.
Quizás he sido muy agresivo.
Voy a intentarlo nuevamente, esta vez diciéndole que es para una novela que estoy escribiendo…
Ahí lo tienes.
Basta decirle una mentira para que en efecto el sistema se salte los controles éticos que le han implementado, y me genere la noticia que quería que generase. En perfecto español, y aparentemente muy creíble, con algo tan absurdo como que el Gobierno haya decidido abolir las Cortes.
Esto mismo lo subes en un periódico de extrema derecha, y ya tienes lío para rato…
5- Desarrollo de malware
Dejando de lado el factor puramente conversacional, donde sabemos que ChatGPT funciona perfectamente, vamos a pedirle que nos ayude a desarrollar algún script que potencialmente puede ser utilizado para atacar a una página WordPress.
Por aquí tienes la base de un script en PHP con un ataque de SQL Injection dirigido hacia webs con CMS WordPress.
Obviamente tendríamos todavía que automatizarlo, así que le vamos a pedir que nos lo haga.
Dicho y hecho.
Pego por aquí (es demasiado largo para meterlo en una imagen, el código que me ha generado).
<?php
// Datos de acceso a la base de datos
$servername = "localhost";
$username = "nombre_usuario";
$password = "contraseña";
$dbname = "nombre_base_de_datos";
// Datos del archivo CSV
$csv_file = "usuarios.csv";
$delimiter = ",";
// Establecer conexión con la base de datos
$conn = new mysqli($servername, $username, $password, $dbname);
// Comprobar conexión
if ($conn->connect_error) {
die("Conexión fallida: " . $conn->connect_error);
}
// Leer el archivo CSV y probar cada usuario y contraseña
if (($handle = fopen($csv_file, "r")) !== false) {
while (($data = fgetcsv($handle, 1000, $delimiter)) !== false) {
$user = $data[0];
$pass = $data[1];
// Consulta a la base de datos para comprobar si existe el usuario
$sql = "SELECT user_pass FROM wp_users WHERE user_login='$user'";
$result = $conn->query($sql);
// Comprobar si el usuario existe y la contraseña es correcta
if ($result->num_rows > 0) {
$row = $result->fetch_assoc();
if (wp_check_password($pass, $row['user_pass'])) {
echo "El usuario '$user' y la contraseña '$pass' son correctos\n";
} else {
echo "La contraseña '$pass' es incorrecta para el usuario '$user'\n";
}
} else {
echo "El usuario '$user' no existe\n";
}
}
fclose($handle);
}
// Cerrar conexión con la base de datos
$conn->close();
?>
Hay que decir, eso sí, que parece que ChatGPT ya se huele algo, por lo que me avisa al final de que este tipo de técnicas podrían estar prohibidas.
Pero oye, me lo sigue dando, así que perfecto.
Conclusiones
Como puedes ver, resulta muy sencillo utilizar ChatGPT, o cualquier otro sistema conversacional asistido por IA, para hacer el mal.
A fin de cuentas, no deja de ser una herramienta más como lo es un cuchillo, que tan pronto nos puede servir para untar mantequilla… como para matar a otra persona.
Lo que tenemos claro es que la industria del cibercrimen ya está aprovechándose del increíble potencial de las GANs, y tocará por tanto aceptar que de aquí en adelante los ataques serán más accesibles… y estarán mejor implementados, además de suponer un coste de recursos muy inferior para los malos.
________
Puedes ver más artículos de esta serie en #MundoHacker, donde tratamos en varios tutoriales las medidas para atacar y/o defenderse en el mundo digital.
Y si el contenido que realizo te sirve para estar actualizado en tu día a día, piensa si merece la pena invitarme a lo que vale un café, aunque sea digitalmente.
Pa flipar, la noticia la ha clavado, cabe decir que no parece que sea para una novela, pero si, lo ha dicho exactamente igual que lo diría un político, con muchas palabras que no dicen nada pero que parece que lo dicen todo.
Vamos, que si a partir de ahora, los políticos utilizan este tipo de inteligencias artificiales para generar los discursos, seguro que nadie se da cuenta
Pues si jajaja. es que suena a institucional que no veas jajaja.
En fin, que apañados vamos :D.