Tutti gli occhi sono puntati sulla difesa informatica mentre le elezioni entrano nell’era dell’intelligenza artificiale generativa
Gli esseri umani sono più facili da violare rispetto ai sistemi IT e gli attori erranti utilizzeranno l’intelligenza artificiale generativa per sfruttare questa opportunità.
Mentre i paesi si preparano a tenere elezioni importanti in una nuova era caratterizzata dall’intelligenza artificiale generativa (AI), gli esseri umani saranno gli obiettivi principali degli hacktivisti e degli attori statali.
L’intelligenza artificiale generativa potrebbe non aver cambiato il modo in cui i contenuti si diffondono, ma ne ha accelerato il volume e ne ha influito sulla precisione.
Secondo Allie Mellen, principale analista di Forrester Research, la tecnologia ha aiutato gli autori delle minacce a generare migliori e-mail di phishing su larga scala per accedere alle informazioni su un candidato o un'elezione presa di mira. La ricerca di Mellen copre le operazioni di sicurezza e le minacce a livello nazionale, nonché l'uso dell'apprendimento automatico e dell'intelligenza artificiale negli strumenti di sicurezza. Il suo team sta monitorando attentamente la portata della disinformazione nel 2024.
Mellen ha sottolineato il ruolo svolto dalle società di social media nel salvaguardare dalla diffusione della disinformazione e della disinformazione per evitare il ripetersi delle elezioni statunitensi del 2016.
Secondo un recente studio pubblicato da Yubico e Defending Digital Campaigns, quasi il 79% degli elettori statunitensi ha dichiarato di essere preoccupato per il fatto che i contenuti generati dall’intelligenza artificiale vengano utilizzati per impersonare un candidato politico o creare contenuti fraudolenti. Un altro 43% ha affermato di ritenere che tali contenuti danneggeranno i risultati elettorali di quest'anno. Condotto da OnePoll, il sondaggio ha intervistato 2.000 elettori registrati negli Stati Uniti per valutare l’impatto della sicurezza informatica e dell’intelligenza artificiale sulla campagna elettorale del 2024.
Agli intervistati è stato fornito un clip audio registrato utilizzando una voce AI e il 41% ha affermato di ritenere che la voce fosse umana. Circa il 52% ha ricevuto anche un'e-mail o un SMS che sembrava provenire da una campagna, ma che sospettava fosse un tentativo di phishing.
"Le elezioni di quest'anno sono particolarmente rischiose per gli attacchi informatici diretti a candidati, personale e chiunque sia associato a una campagna", ha affermato in un comunicato stampa il presidente e amministratore delegato di Defending Digital Campaigns, Michael Kaiser. "Avere la giusta sicurezza informatica non è un'opzione: è essenziale per chiunque conduca un'operazione politica. Altrimenti, le campagne rischiano non solo di perdere dati preziosi ma anche di perdere elettori."
Notando che le campagne si basano sulla fiducia, David Treece, vicepresidente dell'architettura delle soluzioni di Yubico, ha aggiunto nel comunicato che potenziali attacchi, come e-mail fraudolente o deepfake sui social media che interagiscono direttamente con il pubblico, possono influenzare le campagne. Treece ha esortato i candidati ad adottare misure adeguate per proteggere le loro campagne e ad adottare pratiche di sicurezza informatica per creare fiducia negli elettori.
Anche una maggiore consapevolezza pubblica dei contenuti falsi è fondamentale poiché l’essere umano è l’ultima linea di difesa, ha detto Mellen a ZDNET.
Ha inoltre sottolineato la necessità che le aziende tecnologiche siano consapevoli del fatto che garantire le elezioni non è semplicemente una questione di governo, ma una sfida nazionale più ampia che ogni organizzazione del settore deve considerare.
In primo luogo, la governance è fondamentale, ha affermato. Non tutti gli attacchi deepfake o di ingegneria sociale possono essere identificati correttamente, ma il loro impatto può essere mitigato dall’organizzazione attraverso controlli e processi adeguati per impedire a un dipendente di inviare denaro a una fonte esterna.
"In definitiva, si tratta di affrontare la fonte del problema, piuttosto che i sintomi", ha detto Mellen. "Dovremmo essere più preoccupati di stabilire una governance adeguata e [livelli di] convalida per garantire che le transazioni siano legittime."
Allo stesso tempo, ha affermato che dovremmo continuare a migliorare le nostre capacità nel rilevare deepfake e contenuti fraudolenti generativi basati sull’intelligenza artificiale.
Gli aggressori che sfruttano le tecnologie di intelligenza artificiale generativa sono per lo più attori statali, mentre altri si attengono principalmente a tecniche di attacco che già funzionano. Ha affermato che gli autori delle minacce a livello nazionale sono più motivati ad aumentare la portata dei loro attacchi e vogliono portare avanti nuove tecnologie e modi per accedere a sistemi a cui altrimenti non sarebbero stati in grado. Se questi attori riescono a diffondere la disinformazione, ciò può erodere la fiducia del pubblico e distruggere le società dall’interno, ha avvertito.
IA generativa per sfruttare la debolezza umana
Nathan Wenzler, capo stratega della sicurezza presso la società di sicurezza informatica Tenable, ha affermato di essere d’accordo con questo sentimento, avvertendo che probabilmente ci saranno maggiori sforzi da parte degli attori statali per abusare della fiducia attraverso la disinformazione.
Anche se quest’anno il suo team non ha notato alcun nuovo tipo di minaccia alla sicurezza con l’emergere dell’intelligenza artificiale generativa, Wenzler ha affermato che la tecnologia ha consentito agli aggressori di acquisire portata e portata.
Questa capacità consente agli attori degli stati-nazione di sfruttare la cieca fiducia del pubblico in ciò che vede online e la volontà di accettarlo come un fatto, e utilizzeranno l’intelligenza artificiale generativa per spingere contenuti che servono al loro scopo, ha detto Wenzler a ZDNET.
La capacità della tecnologia AI di generare email di phishing e deepfake convincenti ha anche sostenuto l’ingegneria sociale come valido catalizzatore per lanciare attacchi, ha affermato Wenzler.
Gli strumenti di difesa informatica sono diventati molto efficaci nel colmare le debolezze tecniche, rendendo più difficile la compromissione dei sistemi IT. Ha detto che gli avversari delle minacce si rendono conto di questo fatto e stanno scegliendo un obiettivo più facile.
"Mentre la tecnologia diventa sempre più difficile da violare, gli esseri umani [si stanno dimostrando] più facili da violare e GenAI è un altro passo [per aiutare gli hacker] in questo processo", ha osservato. "Renderà gli [attacchi] di ingegneria sociale più efficaci e consentirà agli aggressori di generare contenuti più velocemente e di essere più efficienti, con un buon tasso di successo."
Se i criminali informatici inviassero 10 milioni di messaggi e-mail di phishing, anche un miglioramento dell’1% nella creazione di contenuti che funzionino meglio per convincere i loro obiettivi a fare clic fornirebbe un risultato di altre 100.000 vittime, ha affermato.
"Velocità e scalabilità sono ciò che conta. GenAI sarà uno strumento importante per questi gruppi per costruire attacchi di ingegneria sociale", ha aggiunto.
Quanto dovrebbero preoccuparsi i governi dei rischi generati dall’IA generativa?
"Dovrebbero essere molto preoccupati", ha detto Wenzler. "Risale a un attacco alla fiducia. Sta davvero giocando con la psicologia umana. Le persone vogliono fidarsi di ciò che vedono e vogliono credere l'una nell'altra. Dal punto di vista della società, non facciamo un lavoro abbastanza buono mettendo in discussione ciò che vediamo ed essere vigili. E sta diventando sempre più difficile ora che i Deepfake stanno diventando incredibilmente buoni."
"Vuoi creare un sano scetticismo, ma non siamo ancora arrivati", ha detto, sottolineando che sarebbe difficile rimediare dopo il fatto poiché il danno è già fatto e sacche di popolazione avrebbero erroneamente creduto a ciò che hanno fatto. visto per qualche tempo.
Alla fine, le società di sicurezza creeranno strumenti, ad esempio per il rilevamento dei deepfake, che potranno affrontare questa sfida in modo efficace come parte di un’infrastruttura di difesa automatizzata, ha aggiunto.
I grandi modelli linguistici necessitano di protezione
Le organizzazioni dovrebbero anche prestare attenzione ai dati utilizzati per addestrare i modelli di intelligenza artificiale.
Mellen ha affermato che i dati di addestramento nei modelli linguistici di grandi dimensioni (LLM) dovrebbero essere controllati e protetti da attacchi dannosi, come l’avvelenamento dei dati. I modelli di intelligenza artificiale contaminati possono generare risultati falsi.
Sergy Shykevich, responsabile del gruppo di intelligence sulle minacce di Check Point Software, ha anche evidenziato i rischi legati ai LLM, inclusi modelli di intelligenza artificiale più grandi per supportare le principali piattaforme, come ChatGPT di OpenAI e Gemini di Google.
Gli attori degli stati-nazione possono prendere di mira questi modelli per ottenere l’accesso ai motori e manipolare le risposte generate dalle piattaforme di intelligenza artificiale generativa, ha detto Shykevich a ZDNET. Possono quindi influenzare le opinioni pubbliche e potenzialmente cambiare il corso delle elezioni.
Senza ancora alcuna regolamentazione che disciplini le modalità di protezione dei LLM, ha sottolineato la necessità di trasparenza da parte delle società che gestiscono queste piattaforme.
Poiché l’intelligenza artificiale generativa è relativamente nuova, può anche essere difficile per gli amministratori gestire tali sistemi e capire perché o come vengono generate le risposte, ha affermato Mellen.
Wenzler ha osservato che le organizzazioni possono mitigare i rischi utilizzando LLM più piccoli, più mirati e appositamente progettati per gestire e proteggere i dati utilizzati per addestrare le loro applicazioni di intelligenza artificiale generativa.
Anche se ci sono vantaggi nell’acquisire set di dati più grandi, ha raccomandato alle aziende di considerare la propria propensione al rischio e di trovare il giusto equilibrio.
Wenzler ha esortato i governi a muoversi più rapidamente e a stabilire i mandati e le regole necessari per affrontare i rischi legati all’intelligenza artificiale generativa. Queste regole forniranno la direzione per guidare le organizzazioni nell’adozione e nell’implementazione di applicazioni di intelligenza artificiale generativa, ha affermato.