Mientras los países se preparan para celebrar elecciones importantes en una nueva era marcada por inteligencia artificial generativa (IA), los humanos serán los principales objetivos de los hacktivistas y los actores de los Estados-nación.
Es posible que la IA generativa no haya cambiado la forma en que se difunde el contenido, pero ha acelerado su volumen y afectado su precisión.
También: Cómo OpenAI planea ayudar a proteger las elecciones de las travesuras generadas por la IA
La tecnología ha ayudado a los actores de amenazas a generar mejores correos electrónicos de phishing a escala para acceder a información sobre un candidato o una elección objetivo, según Allie Mellen, analista principal de Forrester Research. La investigación de Mellen cubre operaciones de seguridad y amenazas a los estados nacionales, así como el uso de aprendizaje automático e inteligencia artificial en herramientas de seguridad. Su equipo está siguiendo de cerca el alcance de la desinformación y la desinformación en 2024.
Mellen destacó el papel las empresas de redes sociales juegan para proteger contra la difusión de información errónea y desinformativa a evitar una repetición de las elecciones estadounidenses de 2016.
Casi el 79% de los votantes estadounidenses dijeron que les preocupa que el contenido generado por IA se utilice para hacerse pasar por un candidato político o crear contenido fraudulento, según un estudio reciente publicado por Yubico y Defending Digital Campaigns. Otro 43% dijo que cree que dicho contenido perjudicará los resultados electorales de este año. Realizada por OnePoll, la encuesta encuestó a 2.000 votantes registrados en los EE. UU. para evaluar el impacto de la ciberseguridad y la inteligencia artificial en la campaña electoral de 2024.
También: Cómo la IA engañará a los votantes en 2024 si no hacemos algo ahora
A los encuestados se les proporcionó un clip de audio grabado con una voz de IA, y el 41% dijo que creía que la voz era humana. Alrededor del 52% también recibió un correo electrónico o un mensaje de texto que parecía ser de una campaña, pero que sospechaban que era un intento de phishing.
«Las elecciones de este año son particularmente riesgosas por los ciberataques dirigidos a candidatos, personal y cualquier persona asociada con una campaña», dijo el presidente y director ejecutivo de Defending Digital Campaigns, Michael Kaiser, en un comunicado de prensa. «Contar con la ciberseguridad adecuada no es una opción; es esencial para cualquiera que dirija una operación política. De lo contrario, las campañas corren el riesgo no sólo de perder datos valiosos sino también de perder votantes».
Al señalar que las campañas se basan en la confianza, David Treece, vicepresidente de arquitectura de soluciones de Yubico, agregó en el comunicado que los posibles ataques, como correos electrónicos fraudulentos o deepfakes en las redes sociales que interactúan directamente con su audiencia, puede afectar las campañas. Treece instó a los candidatos a tomar las medidas adecuadas para proteger sus campañas y adoptar prácticas de ciberseguridad para generar confianza entre los votantes.
También: Cómo planea Microsoft proteger las elecciones de los deepfakes
Una mayor conciencia pública sobre el contenido falso también es clave, ya que el ser humano es la última línea de defensa, dijo Mellen a ZDNET.
Subrayó además la necesidad de que las empresas de tecnología sean conscientes de que asegurar las elecciones no es simplemente una cuestión de gobierno, sino un desafío nacional más amplio que todas las organizaciones de la industria deben considerar.
Ante todo, la gobernanza es fundamental, afirmó. No todos los ataques deepfake o de ingeniería social pueden identificarse adecuadamente, pero la organización puede mitigar su impacto mediante controles y procesos adecuados para evitar que un empleado envíe dinero a una fuente externa.
«En última instancia, se trata de abordar la fuente del problema, en lugar de los síntomas», afirmó Mellen. «Lo que más debería preocuparnos es establecer una gobernanza adecuada y [layers of] validación para garantizar que las transacciones sean legítimas».
Al mismo tiempo, dijo que deberíamos seguir mejorando nuestras capacidades para detectar deepfakes y contenido fraudulento generativo impulsado por IA.
También: Google exigirá que los anuncios políticos revelen si están generados por IA
Los atacantes que aprovechan las tecnologías de IA generativa son en su mayoría actores de estados-nación, mientras que otros se apegan principalmente a técnicas de ataque que ya funcionan. Dijo que los actores de amenazas de los Estados-nación están más motivados para ganar escala en sus ataques y quieren avanzar con nuevas tecnologías y formas de acceder a sistemas a los que de otro modo no habrían podido acceder. Si estos actores pueden salir La desinformación puede erosionar la confianza pública y destrozar las sociedades. desde dentro, advirtió.
IA generativa para explotar la debilidad humana
Nathan Wenzler, estratega jefe de seguridad de la empresa de ciberseguridad Tenable, dijo que estaba de acuerdo con este sentimiento y advirtió que probablemente habrá mayores esfuerzos por parte de los actores de los estados-nación para abusar de la confianza mediante información errónea y desinformación.
Si bien su equipo no ha notado ningún tipo nuevo de amenazas a la seguridad este año con el surgimiento de la IA generativa, Wenzler dijo que la tecnología ha permitido a los atacantes ganar escala y alcance.
Esta capacidad permite a los actores de los estados-nación explotar la confianza ciega del público en lo que ven en línea y su voluntad de aceptarlo como un hecho, y utilizarán IA generativa para impulsar contenido que sirva a su propósito, dijo Wenzler a ZDNET.
La capacidad de la tecnología de inteligencia artificial para generar correos electrónicos de phishing y deepfakes convincentes también ha defendido la ingeniería social como un catalizador viable para lanzar ataques, dijo Wenzler.
Las herramientas de ciberdefensa se han vuelto muy efectivas para subsanar las debilidades técnicas, lo que dificulta que los sistemas de TI se vean comprometidos. Dijo que los adversarios de las amenazas se dan cuenta de este hecho y están eligiendo un objetivo más fácil.
«A medida que la tecnología se vuelve más difícil de descifrar, los humanos [are proving] más fácil de romper y GenAI es un paso más [to help hackers] en ese proceso», señaló. «Hará que la ingeniería social [attacks] más efectivo y permite a los atacantes generar contenido más rápido y ser más eficientes, con una buena tasa de éxito».
Si los ciberdelincuentes envían 10 millones de mensajes de correo electrónico de phishing, incluso una mejora de sólo el 1% en la creación de contenido que funcione mejor para convencer a sus objetivos de hacer clic proporciona un rendimiento de 100.000 víctimas adicionales, afirmó.
«Se trata de velocidad y escala. GenAI será una herramienta importante para que estos grupos desarrollen ataques de ingeniería social», añadió.
¿Cuán preocupados deberían estar los gobiernos por los riesgos generativos impulsados por la IA?
«Deberían estar muy preocupados», dijo Wenzler. «Esto se remonta a un ataque a la confianza. Realmente está jugando con la psicología humana. La gente quiere confiar en lo que ve y quiere creer unos a otros. Desde el punto de vista de la sociedad, no hacemos un buen trabajo cuestionando lo que vemos. y estar alerta. Y cada vez es más difícil con GenAI. Los deepfakes se están volviendo increíblemente buenos».
«Quieres crear un escepticismo saludablepero aún no hemos llegado a ese punto», afirmó, señalando que sería difícil remediar los hechos después de los hechos, ya que el daño ya está hecho y sectores de la población habrían creído erróneamente lo que vieron durante algún tiempo.
Con el tiempo, las empresas de seguridad crearán herramientas, como la detección de deepfakes, que puedan abordar este desafío de manera efectiva como parte de una infraestructura de defensa automatizada, agregó.
Los modelos de lenguaje grandes necesitan protección
Las organizaciones también deben tener en cuenta los datos utilizados para entrenar modelos de IA.
Mellen dijo que los datos de entrenamiento en grandes modelos de lenguaje (LLM) deberían ser examinados y protegidos contra ataques maliciosos, como el envenenamiento de datos. Los modelos de IA contaminados pueden generar resultados falsos.
Sergy Shykevich, director del grupo de inteligencia de amenazas de Check Point Software, también destacó los riesgos que rodean los LLM, incluidos modelos de IA más grandes para soportar plataformas importantes, como ChatGPT de OpenAI y Géminis de Google.
Los actores del Estado-nación pueden apuntar a estos modelos para obtener acceso a los motores y manipular las respuestas generadas por las plataformas de IA generativa, dijo Shykevich a ZDNET. Luego pueden influir en la opinión pública y potencialmente cambiar el curso de las elecciones.
Sin ninguna regulación aún que regule cómo se deben asegurar los LLM, enfatizó la necesidad de transparencia por parte de las empresas que operan estas plataformas.
También: Detección de deepfake en tiempo real: cómo Intel Labs utiliza la IA para combatir la desinformación
Dado que la IA generativa es relativamente nueva, también puede resultar un desafío para los administradores gestionar dichos sistemas y comprender por qué o cómo se generan las respuestas, dijo Mellen.
Wenzler señaló que las organizaciones pueden mitigar los riesgos utilizando LLM más pequeños, más enfocados y diseñados específicamente para administrar y proteger los datos utilizados para entrenar sus aplicaciones de IA generativa.
Si bien la ingesta de conjuntos de datos más grandes tiene beneficios, recomendó que las empresas analicen su apetito por el riesgo y encuentren el equilibrio adecuado.
Wenzler instó a los gobiernos a actuar más rápidamente y establecer las medidas necesarias mandatos y reglas para abordar los riesgos en torno a la IA generativa. Estas reglas proporcionarán la dirección para guiar a las organizaciones en su adopción y despliegue de aplicaciones de IA generativa, dijo.
