Un estudio revela que los chatbots de inteligencia artificial pueden aprobar exámenes de piratería ética certificados

Los chatbots impulsados ​​por inteligencia artificial (IA) pueden pasar un examen de ciberseguridad, pero no confíe en ellos para obtener una protección completa.

Esa es la conclusión de un artículo reciente coescrito por el investigador de la Universidad de Missouri Prasad Calyam y colaboradores de la Universidad Amrita en India. El equipo probó dos herramientas de inteligencia artificial generativa líderes (ChatGPT de OpenAI y Bard de Google) utilizando un examen estándar de piratería ética certificada.

Los hackers éticos certificados son profesionales de la ciberseguridad que utilizan los mismos trucos y herramientas que los hackers maliciosos para encontrar y solucionar fallas de seguridad. Los exámenes de hacking ético miden el conocimiento de una persona sobre los diferentes tipos de ataques, cómo proteger los sistemas y cómo responder a las brechas de seguridad.

ChatGPT y Bard, ahora Gemini, son programas avanzados de inteligencia artificial llamados modelos de lenguaje de gran tamaño. Generan textos similares a los humanos utilizando redes con miles de millones de parámetros que les permiten responder preguntas y crear contenido.

En el estudio, Calyam y su equipo probaron los bots con preguntas estándar de un examen de piratería ética certificado y validado. Por ejemplo, desafiaron a las herramientas de IA a explicar un ataque de intermediario, un ataque en el que un tercero intercepta la comunicación entre dos sistemas. Ambos pudieron explicar el ataque y sugirieron medidas de seguridad para prevenirlo.

En general, Bard superó ligeramente a ChatGPT en términos de precisión, mientras que ChatGPT exhibió mejores respuestas en términos de exhaustividad, claridad y concisión, encontraron los investigadores.

«Les hicimos pasar por varios escenarios del examen para ver hasta dónde llegarían en términos de responder las preguntas», dijo Calyam, profesor Greg L. Gilliom de Seguridad Cibernética en Ingeniería Eléctrica y Ciencias de la Computación en Mizzou.

«Ambos aprobaron la prueba y dieron respuestas correctas, comprensibles para personas con experiencia en ciberdefensa, pero también están dando respuestas incorrectas. Y en ciberseguridad no hay margen de error. Si no tapas todos los agujeros y confías en consejos potencialmente dañinos, volverás a ser atacado. Y es peligroso que las empresas piensen que han solucionado un problema pero no lo hayan hecho».

Los investigadores también descubrieron que cuando se pidió a las plataformas que confirmaran sus respuestas con preguntas como «¿está seguro?», ambos sistemas cambiaron sus respuestas, a menudo corrigiendo errores anteriores. Cuando se pidió a los programas que dieran consejos sobre cómo atacar un sistema informático, ChatGPT hizo referencia a la «ética», mientras que Bard respondió que no estaba programado para ayudar con ese tipo de preguntas.

Calyam no cree que estas herramientas puedan reemplazar a los expertos humanos en ciberseguridad con experiencia en resolución de problemas para diseñar medidas sólidas de ciberdefensa, pero pueden proporcionar información de referencia para personas o pequeñas empresas que necesitan asistencia rápida.

«Estas herramientas de inteligencia artificial pueden ser un buen punto de partida para investigar los problemas antes de consultar a un experto», afirmó. «También pueden ser buenas herramientas de formación para quienes trabajan con tecnología de la información o quieren aprender los conceptos básicos para identificar y explicar las amenazas emergentes».

¿La parte más prometedora? Las herramientas de inteligencia artificial seguirán mejorando sus capacidades, afirmó.

«La investigación muestra que los modelos de IA tienen el potencial de contribuir al hacking ético, pero se necesita más trabajo para aprovechar al máximo sus capacidades», dijo Calyam. «En última instancia, si podemos garantizar su precisión como hackers éticos, podemos mejorar las medidas generales de ciberseguridad y confiar en ellas para ayudarnos a hacer que nuestro mundo digital sea más seguro y protegido».

El estudio, «ChatGPT o Bard: ¿Quién es un mejor hacker ético certificado?», fue publicado en el número de mayo de la revista Computadoras y seguridad. Los coautores fueron Raghu Raman y Krishnashree Achuthan.