quange
作为近期最热门的话题之一，ChatGPT以机器学习为基础，可以写文章、写代码、写情书、做题……功能丰富、语言流畅，不断地带给人们惊喜。那么“全能”的ChatGPT会对网络安全产生什么样的影响呢？
尽管机器学习的原理是在大约50年前制定的，但直到最近才在实践中得到广泛应用。随着计算能力的增长，计算机首先学会了区分图像中的对象，并比人类更好地玩象棋、围棋，也可以根据文本描述绘制图片，并保持连贯的聊天。OpenAI通过ChatGPT向公众开放了其大型GPT-3（Generative Pretrained Transformer 3）语言模型。该机器人可以在chat.openai.com上找到，在那里可以亲眼看到它如何保持连贯的对话，如何比许多老师更好地解释复杂的科学概念，如何在语言之间艺术地翻译文本等等。
如果我们将ChatGPT剥离到最基本的部分，语言模型将在一个庞大的在线文本语料库上进行训练，它从中“记住”哪些单词、句子和段落被最频繁地搭配在一起，以及它们是如何相互关联的。在众多技术技巧和额外的人类训练的帮助下，该模型专门针对对话进行了优化。因为“在互联网上，你可以找到任何东西”，该模型自然能够支持几乎所有主题的对话：从时尚和艺术史到编程和量子物理学。
科学家、记者和普通爱好者正在发现越来越多的ChatGPT应用程序。Awesome ChatGPT提示网站有一系列提示（与机器人开始对话的短语），允许“切换”ChatGPT，使其以Gandalf或其他文学人物的风格做出响应，编写Python代码，生成商业信函和简历，甚至模仿Linux终端。尽管如此，ChatGPT仍然只是一种语言模型，因此以上所有内容都只是单词的常见组合和搭配——你不会在其中找到任何原因或逻辑。有时，ChatGPT会（像许多人类一样）通过引用不存在的科学研究来讲令人信服的废话。因此，始终谨慎对待ChatGPT内容，也就是说，即使以目前的形式，机器人在许多实际过程和行业中都很有用。以下是网络安全领域的一些例子。
01编写恶意软件
在地下黑客论坛上，网络犯罪新手报告他们如何使用ChatGPT创建新的木马。当你简洁地向ChatGPT描述所需功能（“将所有密码保存在文件X中，并通过HTTP POST发送到服务器Y”），你就可以得到一个简单的信息窃取器，而不需要任何编程技能。然而，用户无需担心。如果实际使用了机器人编写的代码，安全解决方案将像以前人类创建的所有恶意软件一样快速有效地检测并消除它。此外，如果没有经验丰富的程序员检查这些代码，恶意软件很可能包含细微的错误和逻辑缺陷，从而降低其效率。
至少目前，机器人只能与新手病毒编写者竞争。
02恶意软件分析
当安全分析师研究新的可疑应用程序时，他们会对伪代码或机器代码进行逆向工程，试图找出其工作原理。虽然这个任务不能完全分配给ChatGPT，但聊天机器人已经能够快速解释特定代码段的功能。如下图所示，安全研究人员开发了一个插件，其语言模型并不是真正的ChatGPT，而是它的近亲davinci-003，但这纯粹是技术上的区别。当然，有时插件不起作用，或输出无用的内容，但对于那些自动为函数分配合法名称并识别代码中的加密算法及其参数的情况，它值得安全研究人员随时使用。从安全运营角度而言，它有自己的优点，因为在这种情况下，忙碌的分析师必须为每个安全事件投入最少的时间，因此任何加快安全分析流程的工具都是受欢迎的。
03漏洞处理
上述方法的一个变体是自动搜索易受攻击的代码。聊天机器人“读取”反编译应用程序的伪代码，并识别可能包含漏洞的地方。此外，机器人提供了针对漏洞PoC攻击而设计的Python代码。当然，机器人可以在搜索漏洞和编写PoC代码时会犯各种错误，但在当前的形式下，该工具对攻击者和防御者都有用。
04安全咨询
因为ChatGPT知道人们对网络安全的看法，所以它对这个话题的建议看起来很有说服力。但是，就像任何聊天机器人的建议一样，你永远不知道它是从哪里来的，所以每10个不错的建议中可能就有一个是无用的。
05网络钓鱼
超强的文本处理能力是GPT-3和ChatGPT的强项，因此使用聊天机器人的自动鱼叉式网络钓鱼攻击可能已经发生。大规模网络钓鱼电子邮件的主要问题是，它们看起来不正确，有太多通用文本无法直接与收件人对话。至于鱼叉式网络钓鱼，当一个活的网络罪犯给一个受害者写电子邮件时，费用相当昂贵；因此，它只用于目标攻击。ChatGPT将彻底改变力量平衡，因为它允许攻击者在工业规模上生成有说服力的个性化电子邮件。然而，要使电子邮件包含所有必要的组件，聊天机器人必须得到非常详细的说明。
但主要的网络钓鱼攻击通常由一系列电子邮件组成，每一封电子邮件都会逐渐赢得受害者的信任。因此，对于第二封、第三封和第n封电子邮件，ChatGPT将真正为网络罪犯节省大量时间。由于聊天机器人会记住对话的上下文，因此后续的电子邮件可以从一个非常简短而简单的提示中精心制作出来。
此外，受害者的反应可以很容易地输入到模型中，在几秒钟内产生令人信服的后续行动。
攻击者可以使用的工具之一是风格化的通信。只要提供一个特定风格的小样本，聊天室就可以很容易地将其应用于进一步的消息中。这使得创建令人信服的假电子邮件成为可能，似乎是从一名员工发送到另一名员工。
不幸的是，这意味着成功的网络钓鱼攻击的数量只会增加。聊天机器人将在电子邮件、社交网络和信使中同样令人信服。
如何进行防御？内容分析专家正在积极开发检测聊天机器人文本的工具。时间会证明这些过滤器的有效性。但目前，我们只能推荐两个标准提示——保持警惕和网络安全意识培训，并外加一个新提示。了解如何识别机器人生成的文本，纯粹通过数学上的特性无法区分，但微小的风格怪异和不协调仍然会泄露机器人的秘密。
