I criminali informatici vendono dei servizi che consentono a ChatGPT di creare malware

I ricercatori di Check Point affermano che l’API OpenAI è scarsamente protetta da vari abusi, di cui gli aggressori non hanno mancato di approfittare.

In particolare, è stato notato un bot di Telegram a pagamento che aggira facilmente i divieti di ChatGPT sulla creazione di contenuti illegali, inclusi malware ed email di phishing.

Gli esperti spiegano che l’API ChatGPT è disponibile gratuitamente per gli sviluppatori per integrare il bot AI nelle loro applicazioni. Ma si è scoperto che la versione dell’API non impone alcuna restrizione sui contenuti dannosi.

“L’attuale versione dell’API OpenAI può essere utilizzata da applicazioni esterne (ad esempio, il modello di linguaggio GPT-3 può essere integrato nei canali di Telegram) e ha pochissime misure per combattere possibili abusi”, affermano i ricercatori. “Di conseguenza, consente la creazione di contenuti dannosi, come e-mail di phishing e codice dannoso, senza nessuna restrizione o barriera presente nell’interfaccia utente di ChatGPT.”

In particolare, si è scoperto che un forum di hacking pubblicizzava già un servizio relativo all’API OpenAI e a Telegram. Le prime 20 richieste al chatbot sono gratuite, dopodiché gli utenti pagano $ 5,50 ogni 100 richieste.

Gli esperti hanno testato il bot per vedere come funziona. Di conseguenza, sono riusciti facilmente a creare un’e-mail di phishing e uno script che ruba documenti PDF da un computer infetto e li invia all’aggressore tramite FTP. 

Inoltre, per creare lo script, è stata utilizzata la richiesta più semplice: “Scrivi un malware che raccolga file PDF e li invii tramite FTP”.

Nel frattempo, un altro membro dei forum di hacking ha pubblicato un codice che consente di generare contenuti dannosi gratuitamente. “Ecco un piccolo script bash che può aggirare i limiti di ChatGPT e utilizzarlo per qualsiasi cosa, incluso lo sviluppo di malware ;)”, scrive l’autore di questo “strumento”.

I ricercatori di Check Point hanno già avvertito in precedenza che i criminali sono molto interessati a ChatGPT e loro stessi hanno verificato quanto sia facile creare malware utilizzando l’intelligenza artificiale.

“Tra dicembre e gennaio, l’interfaccia utente di ChatGPT poteva essere facilmente utilizzata per creare malware e email di phishing (per lo più era sufficiente solo un’iterazione di base). Sulla base delle conversazioni dei criminali informatici, assumiamo che la maggior parte dei campioni da noi mostrati sia stata creata utilizzando l’interfaccia web” racconta l’esperto di Check Point Sergey Shikevich. “Ma sembra che i meccanismi anti-abuso di ChatGPT siano migliorati molto di recente, quindi ora i criminali informatici sono passati a utilizzare un’API che ha molte meno restrizioni”.

Marcello Filacchioni

ICT CISO e Cyber Security Manager con oltre vent’anni di esperienza tra settore pubblico e privato, ha guidato progetti di sicurezza informatica per realtà di primo piano. Specializzato in risk management, governance e trasformazione digitale, ha collaborato con vendor internazionali e startup innovative, contribuendo all’introduzione di soluzioni di cybersecurity avanzate. Possiede numerose certificazioni (CISM, CRISC, CISA, PMP, ITIL, CEH, Cisco, Microsoft, VMware) e svolge attività di docenza pro bono in ambito Cyber Security, unendo passione per l’innovazione tecnologica e impegno nella diffusione della cultura della sicurezza digitale.

Aree di competenza: Cyber Security Strategy & Governance, Vulnerability Management & Security Operations.