テック界に旋風を巻き起こしたOpenAIチャットボットChatGPTが、本日リリースされたGPT-4でさらに賢くなった。この超面白いテクノロジーは、まるで人間のように問い合わせに応じ、情報をやり取りする。人間と人間の会話のような内容と流れを持つ印象的な応答は、1990年代初頭の初期のインターネットのような、技術的なブレークスルーがあったように感じる。ChatGPT-4のリリースにより、AIが進化するスピードは、サイバーセキュリティにどのような影響を与えるのか、実務者たちに疑問を投げかけている。
このブログは、歴史的背景から始まり、ChatGPTについて現在わかっていることを取り上げ、ChatGPTが近い将来サイバーセキュリティにどのような影響を与えるかについて少し推測し、今年後半に導入する予定のNozomi Networks 製品の機能を垣間見ることができます。
歴史初期のAIからChatGPTまで
人工知能(AI)の歴史はコンピューターサイエンスの歴史と同じくらい古く、もしかしたらもっと古いかもしれない。
アラン・チューリングは、その代表的な論文『計算機と知性』の中で、チューリング・テストとして知られるものを定式化した。このテストの意図は、コンピュータが本当に人間のように「思考」しているかどうかを理解するためのハードルを設定することであった。人間の尋問者が相手がコンピューターかどうかを見分けられなければ、コンピューターの勝ちである。これまで、チューリング・テストに合格したコンピューターはない。
AIの研究者たちは、あらゆることを学習し、人間の学習ワークフローを模倣できる汎用的で普遍的なアルゴリズム／システム／モデルを目指してきた。その目標にもかかわらず、3歳児の学習の柔軟性は、今日のコンピューターやアルゴリズムにはまだ及ばない。このAIの聖杯に到達する「失敗」は、1970年代後半に「AIの冬」をもたらした。それ以来、80年代から90年代初頭にかけての研究と資金調達における人気の失墜を経て、いわゆる「ナローAI」(より大きな、より一般的な問題は難しすぎると認識し、特定の問題を解決することを目的とする)によって多くのことが達成されてきた。今日、あらゆる種類のニューラルネットワーク(深層と浅層)が多くのタスクで使用され、誰でも簡単に利用でき(Tensorflowやscikit-learnのようなツールを考えてみよう)、専用のハードウェアで加速され(Apple Neural EngineやGoogleのTensor Processing Unit)、特定の問題を解決するための他のソフトウェアエンジニアリングツールとして考えられている。
ナローAIは興味深く、有用であり、ノンストップで進歩し続けている。しかし、その「狭い」というタグは、チューリング・テストに合格することがもはや目標ではないことを思い出させるものとして存在している。もしかしたら将来、コンピューターがチューリング・テストに合格するかもしれない。その時、私たちはコンピューターが本当に考えているのかどうか自問するかもしれないが、それはまた別の話だ。この背景には、人工知能と呼ばれるものがここ数年で進歩したことがある。この人工知能は基本的に、特定の問題やドメインに適応させる際に、より少ないエンジニアリングで済むシステムで、(ナローAIのビルディング・ブロックも活用しながら)単一の大きな学習問題を解決することに立ち戻っている。
今日ChatGPTにエントリー
OpenAIのChatGPTは2022年11月にOpenAIによって導入されて以来、確実に地盤を揺るがしている。
ChatGPTはLarge Language Model (LLM)に基づいたチャットボットで、質問を投げかけると(プロンプト)、ChatGPTがそれに答えて文章を書いてくれます。プロンプトはチャットボットにコンテクストを与え、その中で特定のコンテンツ・コーパスと確率を使って、どの単語が最適に並ぶかを判断し、新しい文章を形成します。プロンプトは、新しい独自のテキストを生成し、ソースのコンテンツは表示されません。これらはすべて、ウェブアプリケーションとAPIを通じて利用できる。
ChatGPTを試した人は皆、その答えの質の高さに感心し、チューリング・テストに合格していると思うかもしれません。しかし、私はチューリング・テストには合格していないと言いたい。OpenAIの研究者が熱心に認めているように、完璧にはほど遠い。答えが間違っていたり、一貫性がなかったり、不正確だったりすることは、そうまれではない。しかし、このボットは "十分に "機能するので、人々はまだ真実を語っていると思うかもしれない。
さらに、チャットボットであることも忘れてはならない。質問すれば、ChatGPTが答えてくれる。その用途はかなり広いように見えるが、それでもやや狭い目標を持っている：コンテキストから出発し、そのコンテキストにとって意味のあるコンテンツを生成すること。データ(構造化、非構造化、画像)を適切に分析したり、ニューラルネットワークを訓練したり、人間ができる仕事のほとんどをすることはできません。できないことやミスのリストは膨大だ。映画『ターミネーター』に登場する恐ろしいスカイネットでもなければ、昔からSF小説に登場する完全自律型の「AI」システムでもない。繰り返しになるが、得られた成果は驚くべきものであり、特にこのような初期のバージョンとしては驚くべきものである。しかし、熱意に流されて現実を超えないようにすることが重要である。
OpenAIの技術(特にGPT-3の調整版)は、ソフトウェア開発者のソフトウェア作成を支援するツールであるGitHub Copilotに使用されている。とはいえ、これはあくまで補助であり、効率化や加速のためのツールだ。今日、Copilotを使ってソフトウェアを作成し、それが人間のソフトウェア・エンジニアリング・チームの代わりになることを望むことはできない。しかし、Copilotは強力です。あらゆるソフトウェア開発者がその恩恵を受けることができます。熟練した開発者(いわゆる10倍速開発者)は、さらなるスピードアップの恩恵を受けるでしょう。いつか、「10倍速開発者」のピンと、このようなツールを自由に使えるようにする要件がなければ、ソフトウェアエンジニアリング市場に参入することは不可能になり、競争力を失うかもしれません。
このトピックの研究開発は止まらない。物事はどんどん良くなり、制限も時間とともに少なくなっていくだろう。世界最高レベルの研究者やエンジニアたちは、年々レベルを上げていくだろう。
ChatGPTはサイバーセキュリティにどう影響するか？
全てのテクノロジーは善にも悪にも使えます。ChatGPTも例外ではありません。ChatGPTの効果的な使用方法については、ウェブ上で多くのことが共有されています。結局のところ、このツールは相当な量の知識を摂取しており、-先に強調した制限付きで-悪者が既存の悪意あるイニシアチブを自動化し、スピードアップし、改善するのを助けることができる。
ネットで見つけたChatGPTの悪い使い方をまとめてみました：
- ChatGPTは悪用を避けるためにコンテンツフィルターを備えていますが、Web GUIやプログラムAPIを使用することで、コンテンツフィルターを迂回して有害なコードを取得する方法を示す多くの例がオンライン上にあります(例えば、マルウェア対策技術で検出されにくいポリモーフィックマルウェアを作成するためのソースコードを取得するなど)。同じ技術を使って、攻撃者が悪意のあるペイロードを被害者に注入することを可能にする、最近発見された脆弱性を見つけることができる。このユースケースは、危害を加えようとする者の技術のハードルを下げる。悪事に必要な技術が少なければ、より多くの人がそれを行うことができる。
- ChatGPTは完全に自動化されており、応答を生成するために人間の介入を必要としないため、プログラム的(コンピュータプログラムの一部として)かつ並列的(同時に何度も)に使用することができます。つまり、フィッシング攻撃やより標的を絞ったスピアフィッシングに使用すれば、ソーシャルエンジニアリングをより高度に利用することができる。言語や翻訳の間違いが少なく、より多くの人々に対して自動化されているため、大規模でより洗練された、信頼性の高いフィッシング・キャンペーンを作成することが容易になる。
- ChatGPTは、一般的にテキストベースの電子メールによるなりすましを指すスピアフィッシング・キャンペーンにとどまらず、大規模な「ディープフェイク」キャンペーンにも利用できる。ChatGPTは、テキストインターフェイスを使用するチャットボットとして紹介されていますが、データパイプラインの段階を追加することで、音声やビデオ出力を生成するために使用することができます。入力画像、ビデオ、音声を通じて特定の人物がどのように見えるか、または話すかを学習することで、AI技術は、実在の人物が決して行わないスクリプトに従って、信憑性のある人物の声の音声および／またはアニメーション画像(Zoomビデオを想像してほしい)を生成することができる。こうしたディープフェイクは、詐欺、強盗、誤解を招く行為、なりすまし、中傷キャンペーン、ブランド攻撃などに利用できる。
- もしChatGPTが使用するコンテンツに指示を与えたり変更したりして、ChatGPTがコンテクストを学習する方法に影響を与えることができれば(現在公開されているデモではまだ不可能)、大規模な誤報キャンペーンの作成が可能になる。その結果、現実や出来事の誤解を招くようなバージョンを支持する大規模なツイッターストームが現れたり、その他の同様の誤った物語が現れたりする可能性がある。
- ChatGPTや類似の技術は非常に強力であるため、私たちが毎日使うであろう未来の技術や製品の多くに組み込まれる可能性が高く、重大な脆弱性を開くことになります(SolarWindsを覚えていますか？)私たちの生活の一部となったChatGPTは、コンテンツの処理から得られる誤った学習や結論である「幻覚」の影響を受ける可能性がある。このような幻覚は、偶然に起こることもあれば(自動運転車が前方の物体を「見ていない」場合のように)、悪意を持って起こることもある。
このような強力なツールが利用できるため、ChatGPTを利用できる敵に追いつくことが、猫とネズミのゲームの新たな章になることは明らかであろう。
その一方で、ChatGPTテクノロジーはサイバーセキュリティのアジェンダを推進するために使用することもできる。その例をいくつか紹介しよう：
- ChatGPTが悪意ある行為者のツールになることがわかっているので、私たちはChatGPTが防御すべき武器庫の一部になるように準備します。私たちは、セキュリティ製品やセキュリティ対策がパスしなければならない一連のテストに、上記で説明したような邪悪な使い方を組み込むことができます。例えば
- 製品ベンダーは、ChatGPTを使用することで、ソフトウェアの脆弱性を簡単に検出し、優先順位をつけて迅速に排除することができます。
- ChatGPTを企業のフィッシング対策トレーニングに組み込むことで、従業員のプロセス安全に対する意識と堅牢性の水準を高めることができます。
- ChatGPTは、セキュリティ・アナリストが野放しになっているセキュリティ脅威を分析し、報告するのを支援することができます。これは、より迅速な発見、より迅速かつ広範な共有threat intelligence 、最終的には、それらの脅威への暴露に対するより迅速な修復につながります。
- ChatGPT技術がソフトウェア開発の世界でより強固な足場を築くにつれて、よりセキュアな内容でトレーニングすることができるようになる。この種の技術を使用するソフトウェア開発者は、脆弱性が少なく、メンテナンスが容易で、よりセキュアなガイドラインに従ったソフトウェアをより多く再利用するようになり、セキュアバイデザインの実装がより強固なものになるでしょう。
- レッドチームとブルーチームによるこの技術の使用(ChatGPTによる部分的または完全な自動化)は、サイバーセキュリティの侵入テスト、脆弱性スキャン、バグ報奨金プログラム、攻撃対象の発見／分析などに関して、次のレベルに進むことができます。
ChatGPTはまた、サイバーセキュリティベンダーにもチャンスをもたらしている。サイバーセキュリティの専門家の不足は、世界中の企業が毎日、そしておそらく今後何年にもわたって直面しなければならない課題である。高度に自律的でインテリジェントなツールに依存する能力が必要になってくる。十分に優れているだけでは不十分であり、ツールはリーグに参入するためだけに特別に優れている必要がある。
次へNozomi Networks プラットフォームへの影響
Nozomi Networks プラットフォームは、常にAIとMLを使用して、そのアルゴリズムの一部を強化・改善してきた。プロセス学習のための信号学習アルゴリズム、インシデントのグループ化のためのクラスタリングアルゴリズム、シンボリックな予測のためのベイズモデル、分類と回帰のためのあらゆる種類のニューラルネットワーク -Nozomi Networks エンジニアによって生成されたコードには、顧客に販売される最終製品、または将来の使用のための研究プロジェクトで「単に」使用される、あらゆる種類のモデルが使用されています。
サイバーセキュリティ企業として、私たちは研究とイノベーションを止めることはできないと信じています。そうでなければ、悪者はこの戦いに勝利してしまうでしょう。ChatGPTのようなツールを作ることは私たちの使命ではありませんが、私たちは私たちのプラットフォームをこれまで以上にインテリジェントにし続けることをお約束します。私たちには、私たちのプラットフォームをこれまで以上に効率的でインテリジェントなものにするための、長年の研究開発イニシアチブがあります。
ご期待ください！
