Les GPT à l’origine de la prochaine vague d’attaques par hameçonnage utilisant l’IA

Les attaques par hameçonnage qui convainquent les utilisateurs finaux de divulguer leurs identifiants sont, bien sûr, le fléau de la cybersécurité, mais avec les modèles de langage transformer génératifs pré-entraînés tels que GPT, les choses pourraient bientôt aller de mal en pis.

Les chercheurs ont déjà démontré comment l’apprentissage automatique peut être utilisé pour générer du texte capable d’alimenter des campagnes de phishing et de business email compromise (BEC) avec une ampleur sans précédent. Alors que les modèles de langage sont généralement entraînés à l’aide d’un corpus de données spécifique, les chercheurs ont été en mesure d’exposer ces modèles à un contenu supplémentaire qui pourrait être utilisé pour induire un résultat spécifique. Par exemple, un article contenant de fausses affirmations pourrait être utilisé pour générer un flux entier de contenus similaires dangereux ou trompeurs.

Plus problématique encore, il a été démontré que ces modèles peuvent même imiter des styles d’écriture d’une manière telle qu’il est difficile pour une personne lambda de faire la différence entre un e-mail envoyé par son patron et un e-mail envoyé par une machine.

Les professionnels de la cybersécurité s’inquiètent déjà de cette éventualité, car l’intérêt des pirates pour les plateformes d’intelligence artificielle (IA) s’est fortement accru. Il existe actuellement des restrictions quant à l’utilisation de plateformes telles que ChatGPT, mais il est probable qu’à terme, d’autres plateformes exploitées par certaines entités (voire par des États) auront moins de scrupules quant à l’application de l’IA. La désinformation étant au cœur de toute campagne de propagande, tout outil facilitant la production de contenu à grande échelle sera utilisé, à bon ou à mauvais escient. Donner aux cybercriminels l’accès à une telle plateforme serait une façon de payer pour assurer le développement d’un tel outil.

D’une manière ou d’une autre, les professionnels de la cybersécurité doivent partir du principe que les attaques par hameçonnage vont bientôt connaître une recrudescence, tant en ce qui concerne le nombre que la complexité. De nombreux processus numériques devront sans doute être réévalués, simplement parce que le niveau de confiance actuel n’est peut-être plus suffisant à une époque où les e-mails peuvent être facilement compromis.

Heureusement, il existe des outils permettant de détecter si un fragment de texte a été généré par une machine. Ce n’est peut-être qu’une question de temps avant que ces types d’outils ne soient intégrés aux plateformes anti-phishing.

En attendant, les professionnels de la cybersécurité doivent se pencher sur l’évolution des modèles transformer génératifs pré-entraînés. La vitesse à laquelle ces plateformes d’IA sont dotées de fonctions supplémentaires ne peut que croître au fur et à mesure qu’elles évoluent et qu’elles ne se limitent plus au texte mais s’étendent aux images et aux vidéos. Ce n’est qu’une question de temps avant que les responsables des entreprises ne commencent à demander aux professionnels de la cybersécurité d’évaluer le niveau de risque que représentent réellement ces plateformes. Les équipes de cybersécurité ne peuvent pas uniquement se concentrer sur ce que ces plateformes peuvent faire aujourd’hui. Elles pourront bientôt travailler avec des ensembles de données plus restreints, qui non seulement nécessitent moins d’infrastructure informatique pour former un modèle, mais peuvent aussi être optimisés pour des cas d’utilisation spécifiques dans des segments industriels verticaux.

Comme l’a dit William Gibson : « L’avenir est déjà là, mais il n’est pas uniformément accessible ». Malgré cela, il est d'ores et déjà possible de prévoir les résultats de sa progression.