Los actores-estado-nación asociados con Rusia, Corea del Norte, Irán y China están experimentando con inteligencia artificial (IA) y modelos de lenguaje grande (LLM) para complementar sus operaciones de ciberataque en curso.
Los hallazgos provienen de un informe publicado por Microsoft en colaboración con OpenAI, los cuales dicho Interrumpieron los esfuerzos realizados por cinco actores afiliados al estado que utilizaron sus servicios de inteligencia artificial para realizar actividades cibernéticas maliciosas al cancelar sus activos y cuentas.
«El soporte lingüístico es una característica natural de los LLM y resulta atractivo para los actores de amenazas que se centran continuamente en la ingeniería social y otras técnicas que se basan en comunicaciones falsas y engañosas adaptadas a los trabajos, redes profesionales y otras relaciones de sus objetivos», Microsoft dicho en un informe compartido con The Hacker News.
Si bien hasta la fecha no se han detectado ataques significativos o novedosos que empleen LLM, la exploración adversa de las tecnologías de IA ha trascendido varias fases de la cadena de ataque, como el reconocimiento, la asistencia de codificación y el desarrollo de malware.
«Estos actores generalmente buscaban utilizar los servicios de OpenAI para consultar información de código abierto, traducir, encontrar errores de codificación y ejecutar tareas básicas de codificación», dijo la firma de IA.
Por ejemplo, el grupo Estado-nación ruso siguió como Ventisca del bosque (también conocido como APT28) se dice que utilizó sus ofertas para realizar investigaciones de código abierto sobre protocolos de comunicación por satélite y tecnología de imágenes de radar, así como para brindar soporte con tareas de secuencias de comandos.
Algunos de los otros equipos de piratería notables se enumeran a continuación:
- Aguanieve esmeralda (también conocido como Kimusky), un actor de amenazas norcoreano, ha utilizado LLM para identificar expertos, grupos de expertos y organizaciones centradas en cuestiones de defensa en la región de Asia y el Pacífico, comprender fallas disponibles públicamente, ayudar con tareas básicas de secuencias de comandos y redactar contenido que podría ser utilizado en campañas de phishing.
- Tormenta de arena carmesí (también conocido como Imperial Kitten), un actor de amenazas iraní que ha utilizado LLM para crear fragmentos de código relacionados con aplicaciones y desarrollo web, generar correos electrónicos de phishing e investigar formas comunes en que el malware podría evadir la detección.
- Tifón de carbón (también conocido como Aquatic Panda), un actor de amenazas chino que ha utilizado LLM para investigar varias empresas y vulnerabilidades, generar scripts, crear contenido que pueda usarse en campañas de phishing e identificar técnicas para el comportamiento posterior al compromiso.
- Tifón salmón (también conocido como Maverick Panda), un actor de amenazas chino que utilizó LLM para traducir documentos técnicos, recuperar información disponible públicamente sobre múltiples agencias de inteligencia y actores de amenazas regionales, resolver errores de codificación y encontrar tácticas de ocultación para evadir la detección.
Microsoft dijo que también está formulando un conjunto de principios para mitigar los riesgos planteado por el uso malicioso de herramientas de inteligencia artificial y API por parte de amenazas persistentes avanzadas (APT), manipuladores persistentes avanzados (APM) y sindicatos cibercriminales de los estados-nación, y concebir barreras de seguridad y mecanismos de seguridad efectivos en torno a sus modelos.
«Estos principios incluyen la identificación y acción contra el uso de amenazas maliciosas, la notificación a otros proveedores de servicios de IA, la colaboración con otras partes interesadas y la transparencia», dijo Redmond.
