卡巴斯基發(fā)現(xiàn)ChatGPT可用于惡意代碼識別

莊元勛

隨著近日大型語言模型ChatGPT的流行，許多網(wǎng)絡(luò)安全工作者也開始實驗它在抵御安全威脅方面的能力。目前已有多項實驗表明，ChatGPT不僅能夠?qū)撛诘陌踩录M(jìn)行分類，還能從中發(fā)現(xiàn)代碼的安全漏洞，即便它沒有專門針對此類活動進(jìn)行訓(xùn)練。

近日，卡巴斯基在一項實驗中，將ChatGPT作為事件響應(yīng)工具的實用程序進(jìn)行分析。他們模仿一般攻擊者使用Meterpreter和PowerShell Empire代理感染了一個系統(tǒng)，用ChatGPT對受感染的進(jìn)程進(jìn)行識別。結(jié)果顯示，ChatGPT在沒有誤報的情況下正確排除了137個良性進(jìn)程，識別出了2個惡意進(jìn)程，并且還供了該服務(wù)應(yīng)被歸類為陷落標(biāo)識（indicator of compromise）的原因和結(jié)論。

最終，卡巴斯基分析師使用ChatGPT分析了測試系統(tǒng)上3500多個事件的元數(shù)據(jù)，發(fā)現(xiàn)了74個潛在的危害指標(biāo)，其中17個是誤報。該實驗表明，ChatGPT可用于為未運行端點檢測和響應(yīng)系統(tǒng)、檢測代碼混淆或逆向工程代碼二進(jìn)制文件的公司收集取證信息。

這項實驗是從向ChatGPT詢問Mimikatz和Fast Reverse Proxy等幾種黑客工具開始的。人工智能模型成功地描述了這些工具，但當(dāng)被要求識別哈希值和域時卻失敗了，例如，ChatGPT無法識別惡意軟件WannaCry的哈希值。

但顯而易見，卡巴斯基在識別主機上的惡意代碼方面則較為成功，他們要求ChatGPT創(chuàng)建一個PowerShell腳本，以從系統(tǒng)中收集元數(shù)據(jù)和危害指標(biāo)并提交。在手動改進(jìn)代碼后，安全人員在受感染的測試系統(tǒng)上使用了該腳本。

在此之前，其他安全公司也在研究如何通過此類模型來執(zhí)行特定的防御相關(guān)任務(wù)。2022年12月，數(shù)字取證公司 Cado Security使用ChatGPT創(chuàng)建了一個事件中的JSON數(shù)據(jù)的妥協(xié)時間表，生成了一份“不完全準(zhǔn)確但總體良好”的報告。

由此看出，ChatGPT得出的結(jié)果到底是否可用。安全咨詢公司NCC集團(tuán)嘗試用ChatGPT作為尋找代碼中的漏洞的方法，得到了“不總是準(zhǔn)確”的結(jié)果。NCC集團(tuán)首席科學(xué)家Chris Anley表示，安全分析師、開發(fā)人員和逆向工程師在使用如ChatGPT的大型語言模型時要小心行事，尤其是對于超出其能力范圍的任務(wù)。

“我贊同專業(yè)開發(fā)人員和其他使用代碼的人去探索ChatGPT和類似模型，但更多的是為了獲得靈感，而不是為了獲得絕對正確、真實的結(jié)果?！盋hris Anley說道：“用ChatGPT進(jìn)行安全代碼審查不是我們的最佳選擇，所以期望它第一次就做到完美有點不公平。"

卡巴斯基事件響應(yīng)團(tuán)隊負(fù)責(zé)人Victor Sergeev也警告稱，結(jié)果不準(zhǔn)確是一個非?，F(xiàn)實的問題，要注意這些這可能產(chǎn)生的誤報和漏報，并稱：“目前的ChatGPT也只是另一個容易產(chǎn)生意外結(jié)果的統(tǒng)計神經(jīng)網(wǎng)絡(luò)?！?/p>

目前，已經(jīng)有公司開始對使用互聯(lián)網(wǎng)上的信息創(chuàng)建數(shù)據(jù)集提出異議，NCC Group的Anley表示，安全專家必須確定提交的入侵指標(biāo)是否暴露了敏感數(shù)據(jù)，或者提交軟件代碼進(jìn)行分析是否侵犯了公司的知識產(chǎn)權(quán)。向ChatGPT提交代碼是否是個好主意，很大程度上取決于具體情況。很多代碼是專有的，受到各種法律保護(hù)，所以不建議人們提交代碼給第三方，除非他們得到許可。

Sergeev也發(fā)出了類似的警告。使用ChatGPT檢測漏洞，必然會向系統(tǒng)發(fā)送敏感數(shù)據(jù)，這可能違反了公司政策，并可能帶來商業(yè)風(fēng)險。