Intelligenza Artificiale Generativa (GenAI)

L'uso corretto di GenAI può migliorare l'efficienza aziendale, il servizio clienti e persino la qualità della vita attraverso applicazioni di assistenza sanitaria e correlate alla salute. Molti sosterranno che i benefici di GenAI superano i rischi, ma questi rischi dovrebbero essere considerati e mitigati il più possibile.

I rischi per la sicurezza informatica associati all'uso dell'Intelligenza Artificiale Generativa (GenAI) sono multifacetati e derivano sia dalle caratteristiche intrinseche della tecnologia sia dai modi in cui viene impiegata e utilizzata. Questi rischi possono essere ampiamente categorizzati in diverse aree chiave:

• Privacy e protezione dei dati: I sistemi GenAI richiedono l'accesso a enormi quantità di dati che la maggior parte degli utenti non può controllare. Alcuni di questi dati possono includere informazioni sensibili o personali che potrebbero essere condivise pubblicamente in risposta a una richiesta.
• Input e output: Gli attori delle minacce hanno utilizzato il processo di richiesta/prompt dei LLM GenAI per iniettare dati dannosi o sfruttare vulnerabilità nel sistema. Questo può causare una violazione dei dati se il sistema è progettato per un uso controllato, come la sanità o la finanza. GenAI può anche rispondere a richieste con output inappropriati e dannosi. Questi output possono essere influenzati da addestramento, parametri e azioni dannose da parte degli attori delle minacce. La maggior parte degli utenti non saprà cosa ha causato l'output.
• Rischi di conformità e legali: GenAI può complicare la conformità con le normative sulla protezione dei dati e sulla privacy. Ad esempio, il Regolamento generale sulla protezione dei dati (GDPR) dell'Unione Europea impone requisiti severi sul trattamento dei dati personali, e le pratiche di gestione dei dati di GenAI potrebbero potenzialmente entrare in conflitto con queste normative.
• Automated ingegneria sociale attacchi: GenAI è progettato per imitare gli stili di comunicazione umana, rendendolo uno strumento perfetto per campagne di phishing e ingegneria sociale sofisticate. Gli attori dannosi potrebbero sfruttare GenAI per automatizzare la creazione di e-mail di phishing o messaggialtamente convincenti, rendendo più difficile per le persone distinguere tra comunicazioni legittime e fraudolente. Diversi LLM sono già stati rubati e riproposti per uso dannoso:
  • FraudGPT: Uno strumento GenAI malevolo basato su abbonamento che crea contenuti per attacchi informatici come phishing e furto d'identità. Funziona in modo simile a ChatGPT di OpenAI ma privo dei controlli e delle limitazioni integrati che prevengono l'uso improprio.
  • WormGPT: Un sistema open-source progettato per aiutare i criminali a scrivere malware e codice dannoso, creare contenuti di phishing e trovare vulnerabilità nei sistemi.
  • PoisonGPT: Questo strumento diffonde disinformazione online inserendo dettagli falsi in narrazioni politiche e storiche, creando fake news e manipolando l'opinione pubblica.
  • XXXGPT: Questa applicazione è stata sviluppata per aiutare i criminali a distribuire botnet, malware, keylogger, infostealer, trojan di accesso remoto e critto-stealer.

L'IA generativa crea anche nuovi rischi quando viene implementata con un application programming interface (API). Le API consentono l'integrazione di tecnologie separate e sono componenti necessari in molti dei casi d'uso descritti sopra. Le API possono creare un rischio significativo in tutta l'organizzazione. Queste devono essere gestite e messe in sicurezza come qualsiasi altro componente nell'infrastruttura digitale.