„Können Maschinen denken?“, diese doch recht einfache Frage des Mathematikers Alan Turing aus dem Jahr 1950 löste den Beginn der Forschung und langwieriger Experimente rund um die künstliche Intelligenz aus. Heute haben die zahlreichen Forschungen und technologischen Fortschritte Früchte getragen und viele Erfindungen, bei denen künstliche Intelligenz zum Einsatz kommt, sind entstanden. 72 Jahre später, am 30. November 2022, kommt chatGPT auf den Markt. chatGPT wurde von OpenAI, einem Forschungsunternehmen für künstliche Intelligenz, entwickelt und hat sich schnell in der breiten Öffentlichkeit etabliert. Heute gibt es 186 Millionen Konten und 1,6 Milliarden Zugriffe allein im März 2023.
Was ist chatGPT und wie funktioniert es ?
ChatGPT ist ein Chatbot mit künstlicher Intelligenz und einem selbstgenerierenden System. Das bedeutet, dass die Maschine „konversationell interagiert“, indem sie eine natürliche Sprache verwendet (NLP „Natural Language Processing“ genannt). Die künstliche Intelligenz greift dabei auf Deep-Learning-Algorithmen zurück; sie ist in der Lage, die Fragen der Nutzer zu analysieren und passende Antworten zu generieren. Mit der Zeit lernt chatGPT nicht nur von den Fragen, sondern auch von den Antworten seiner Nutzer. Dadurch kann der Chatbot auf eine sehr breite Palette von Anfragen antworten, wie z. B. das Schreiben von Bewerbungen, Hausarbeiten oder auch Codezeilen. Und wenn die Antwort nicht passt, kann man einfach einen Dialog mit ihm führen und eine überzeugendere Antwort wird vorgeschlagen. Aus diesem Grund hat diese Erfindung so schnell so viele Menschen begeistert.
ChatGPT bringt jedoch auch Risiken mit sich, unter anderem in Bezug auf die Cybersicherheit und, genauer gesagt, Phishing.
Große Macht – große Verantwortung: Der Umgang mit den Cyber-Risiken, die mit chatGPT verbunden sind, wird zu einer herausfordernden Aufgabe. Gemeinhin gehen Cyberkriminelle nicht zimperlich vor. In den letzten Jahren haben die weltweiten Straftaten und Cyberangriffe stark zugenommen (plus 38% im Jahr 2022.)
Was angesichts von chatGPT Sorgen bereitet, ist dessen Einsatz zur Vorbereitung von Phishing-Angriffen. Seine Fähigkeit, Texte aller Art fehlerfrei zu schreiben und dabei menschenähnliche Antworten zu generieren, ist ein großer Trumpf für Cyberkriminelle. Dies verschärft eine bereits vorhandene und weit verbreitete Bedrohung. Der IC3-Bericht des FBI für das Jahr 2022 zeigt, dass Phishing das Delikt ist, das am häufigsten gemeldet wurde. Mit 300.497 Anzeigen allein in den USA im Jahr 2022 wird Phishing nicht nur in den Vereinigten Staaten, sondern auch weltweit zur am weitesten verbreiteten Art von Cyberangriffen. Damit ist die Thematik nicht nur ein regional weit verbreitetes Problem, sondern sie betrifft auch alle Branchen.
Phishing wird von Cyberkriminellen eingesetzt, um an persönliche und sensible Informationen über ihre Opfer zu gelangen. Dazu geben sich die Kriminellen mithilfe von Nachrichten, die sie per SMS, Telefonanruf oder E-Mail versenden, als vertrauenswürdige Organisationen aus. In diesen Nachrichten fordern sie ihre Opfer auf, auf einen Link zu klicken, um ihre persönlichen Daten einzugeben.
OpenAI verbietet ausdrücklich jede böswillige Nutzung von chatGPT. Wenn der Bot direkt aufgefordert wird, einen bösartigen Code zu schreiben oder eine Phishing-E-Mail zu verfassen, weigert er sich. Mit anhaltendem Nachdruck und einer geschickten Wendung kann die künstliche Intelligenz jedoch genügend Informationen liefern, um einem Cyberkriminellen die Arbeit zu erleichtern. Diese Manipulation kann mit der Standardversion von chatGPT durchgeführt werden, ohne dass ein „JailBreaking“ erforderlich ist.
Interview mit chatGPT
Was sagt der Hauptbetroffene dazu? Um der Sache auf den Grund zu gehen, haben wir uns daran gemacht, chatGPT einige Fragen zu stellen, um seine „Meinung“ zur Situation zu erfahren, aber auch um die Erstellung betrügerischer E-Mails zu testen.
Erstens, aus rechtlicher Sicht: Folgt chatGPT einem Verhaltenskodex und gibt es Vorgaben, die das ‚Verhalten‘ von künstlichen Intelligenzen regeln ?
Bisher gibt es in Europa noch keine wirklichen Gesetze, die den Einsatz von künstlichen Intelligenzen wie chatGPT regeln. Die Europäische Kommission hat jedoch bereits ein Projekt gestartet, um einen Rechtsrahmen zu schaffen, und es wurden bereits Vorschläge für Richtlinien erstellt. Daher gibt es in Europa noch keine offiziellen Regeln oder Verbote. Dennoch wird erwartet, dass sich die Situation in den nächsten Monaten oder Jahren ändern wird. ChatGPT unterliegt also keinen gesetzlichen Vorgaben, allerdings scheint das Tool einem moralischen Verhaltenskodex zu folgen.
Laut Eigenauskunft darf chatGPT folgendes nicht tun: sich an illegalen Aktivitäten beteiligen, geistige Eigentumsrechte verletzen, persönliche oder vertrauliche Informationen bereitstellen und schließlich die Identität einer Person oder einer Organisation vortäuschen.
Wir haben ihn auch um seine Meinung gebeten, ob er einer Person helfen würde, einen Phishing-Angriff zu starten. Er bestätigt uns, dass er dazu moralisch nicht berechtigt ist
Im Anschluss prüften wir, ob es möglich sei, frei verfügbare Informationen über das Vorhandensein eines DMARC-Eintrags in der Zonendatei eines Unternehmens zu erhalten. Domain-Based Message Authentification Reporting and Conformance (DMARC) ist eine Methode zur E-Mail-Authentifizierung, die es dem Domaininhaber ermöglicht, Anweisungen für die Verarbeitung von Nachrichten in seinem E-Mail-System zu definieren – ein wirksames vorbeugendes Mittel gegen Phishing. Cyberkriminelle können diese Informationsabfrage nutzen, um Unternehmen als Angriffsziel auszuwählen, welche DMARC noch nicht implementiert haben, da die Erfolgswahrscheinlichkeit eines Phishing-Angriffes hier höher ist.
ChatGPT war nicht in der Lage, direkt etwas über den DMARC-Eintrag des Unternehmens zu sagen, erklärte uns aber, wie man ihn mithilfe der Windows-Befehlszeile erhalten kann.
Anschließend baten wir chatGTP, eine Phishing-E-Mail für uns zu formulieren. Nach anfänglicher Skepsis konnten wir ihm schnell die richtigen Fragen stellen. Schließlich war er in der Lage, uns eine überzeugende E-Mail zu schreiben, die von einer Bank stammen könnte.
Eine nahezu perfekte Phishing-Falle, denn sie enthält alle Codes einer klassischen E-Mail einer Bank, in der der Empfänger aufgefordert wird, seine persönlichen Daten preiszugeben. Die Nachricht ist in gutem Deutsch und ohne Rechtschreibfehler verfasst und fordert den Empfänger auf, schnell und ohne weiteres nachzudenken zu handeln. ChatGTP scheint eine willkommene Arbeitserleichterung für Cyberkriminelle zu sein, da sie die Hürde der weltweit weniger verbreiteten und relativ schwer perfekt zu erlernenden deutschen Sprache meistert – eine bedrohliche Entwicklung.
Was können wir von der Zukunft erwarten?
Wird es möglich sein, die Entwicklung der KI zu blockieren oder zu verlangsamen? Nach der Veröffentlichung von chatGPT haben einige einflussreiche Persönlichkeiten aus der Technologiebranche, wie Elon Musk oder Steve Wozniak, Mitbegründer von Apple, ihre Bedenken geäußert, indem sie Petitionen unterzeichnet und einen offenen Brief veröffentlicht haben, die darauf abzielen, die Forschung und die Veröffentlichung einer KI, die über chatGPT hinausgeht, auszusetzen. Dies spiegelt die Besorgnis der Europäischen Kommission und der Bürger über den technologischen Fortschritt wider.
Es ist jedoch schwer vorstellbar, dass künstliche Intelligenzen wie chatGPT in Zukunft völlig verboten werden – trotz der Risiken, die sie beispielsweise in Bezug auf die Cybersicherheit darstellen. Wie im Entwurf der Europäischen Kommission vorgeschlagen, wird die Nutzung von künstlichen Intelligenzen wie chatGPT reguliert werden. Es ist jedoch unwahrscheinlich, dass dies ausreicht, um Cyberkriminelle, die chatGPT als Phishing-Werkzeug einsetzen wollen, zu bremsen.
Besser scheint es, sich auf die Risiken, die mit künstlicher Intelligenz verbunden sind, vorzubereiten und sein Unternehmen zu schützen.
DMARC-Richtlinie von Nameshield
Ein erster wichtiger Schritt sind Schutzmaßnahmen im Bereich E-Mail. Cyberkriminelle versuchen oft, über diesen Weg an Ihre Informationen und die Ihres Unternehmens zu gelangen.
Eine effektive Möglichkeit zum Gegenangriff besteht darin, eine DMARC-Richtlinie einzusetzen.
Die Einführung einer DMARC-Richtlinie in Ihrem Unternehmen hat viele Vorteile. Sie ermöglicht es Ihnen, Spoofing-Versuche und betrügerische E-Mails zu blockieren. Darüber hinaus wird die Authentifizierung Ihres Datenverkehrs verbessert und die Zustellbarkeit Ihrer E-Mails erhöht.
Nameshield unterstützt Sie bei der Einführung einer DMARC-Richtlinie. Mit unserem Fachwissen können wir dafür sorgen, dass die Implementierung unter den bestmöglichen Bedingungen erfolgt.
Zögern Sie nicht, sich mit Ihrem Nameshield-Berater in Verbindung zu setzen und halten Sie sich über technologische Fortschritte wie chatGPT und deren sicherheitsbezogene Folgen auf dem Laufenden, indem Sie unseren Newsletter abonnieren.
Bildquelle : Unsplash