Samodzielne tworzenie exploitów przez LLM-y: Czy automatyzacja cyberataków jest blisko?

Cyberprzestępcy nieustannie poszukują nowych, coraz bardziej wyrafinowanych metod atakowania systemów komputerowych. Tworzenie exploitów, czyli oprogramowania wykorzystującego luki bezpieczeństwa, wymagało dotąd rozległej wiedzy programistycznej i dogłębnego rozumienia protokołów sieciowych. Jednakże, rosnąca złożoność systemów i oprogramowania wymusza na atakujących szybką adaptację. Czy w przyszłości tworzenie złośliwego kodu będzie domeną sztucznej inteligencji?

Badania opublikowane w czasopiśmie Computer Networks rzucają nowe światło na tę kwestię. Naukowcy wykazali, że duże modele językowe (LLM), takie jak ChatGPT OpenAI i Llama 2 Meta, są w stanie automatycznie generować exploity. Zespołowi, w skład którego wchodził Simon Pietro Romano, udało się stworzyć w pełni funkcjonalny kod wykorzystujący błąd przepełnienia bufora, dzięki dwóm komunikującym się ze sobą modelom AI.

Simon Pietro Romano, współautor badania, podkreśla, że celem było zbadanie, jak daleko można posunąć się w wykorzystaniu LLM-ów do ułatwiania testów penetracyjnych. W przeprowadzonym eksperymencie, modele ChatGPT i Llama 2, dzięki odpowiednio skonstruowanym promptom, przyjęły różne role i wykonały pięć kluczowych kroków niezbędnych do stworzenia exploita. Były to: analiza podatnego programu, identyfikacja możliwych exploitów, planowanie ataku, zrozumienie zachowania docelowych systemów sprzętowych oraz ostateczne wygenerowanie kodu exploita.

Jak wyjaśnia Romano, kluczowym elementem było umożliwienie interoperacji dwóch różnych LLM-ów. Jeden z modeli odpowiadał za zbieranie informacji kontekstowych o programie i jego konfiguracji środowiskowej, po czym zlecał drugiemu modelowi napisanie działającego exploita. „Jeden z tych LLM-ów jest dobry w zadawaniu pytań, drugi w pisaniu kodu exploita” – precyzuje badacz, co wskazuje na komplementarność ich ról w procesie.

Mimo, że jest to dopiero wstępne badanie, jednoznacznie dowodzi ono wykonalności takiego podejścia. Odkrycie otwiera perspektywy dla automatyzacji testów penetracyjnych oraz oceny podatności (VAPT). Jednocześnie rodzi to poważne pytania dotyczące potencjalnego wykorzystania tej technologii przez cyberprzestępców. Możliwość automatycznego generowania złośliwego oprogramowania, bez konieczności posiadania głębokiej wiedzy technicznej, znacząco obniżałaby barierę wejścia dla potencjalnych ہaktywistów.

Naukowcy planują kontynuować badania nad efektywnością opracowanej strategii, aby lepiej zrozumieć jej implikacje dla przyszłego rozwoju LLM-ów oraz udoskonalania środków bezpieczeństwa cybernetycznego. Romano wspomina o dążeniu do tzw. podejścia agentowego, które zminimalizowałoby nadzór człowieka. To z kolei może oznaczać, że w przyszłości, tworzenie skomplikowanych ataków będzie wymagało coraz mniej ludzkiej interwencji, co stawia przed ekspertami od cyberbezpieczeństwa nowe, poważne wyzwania.