AI/ML – Page 8 – IoT OT Security News

フィッシングと生成 AI：メールを介した攻撃が前年比で 1265% 増

Report Links ChatGPT to 1265% Rise in Phishing Emails

2023/10/30 InfoSecurity —2022年 Q4 以降において、悪質なフィッシングメールが 1265％も急増しているという、サイバー・セキュリティにおける懸念すべき傾向が、SlashNext State of Phishing Report 2023 により明らかにされた。この年次レポートは、2022年Q4〜2023年Q3 の12カ月間において、メール／モバイル／ブラウザなどのチャネルで観測された、脅威の分析を網羅するものだ。そして、このレポートでは、クレデンシャル・フィッシング攻撃が 967% も増加したことが強調されている。

HackerOne の報奨金は累計で $300 million：2023年のレポートからトレンドを探る

HackerOne paid ethical hackers over $300 million in bug bounties

2023/10/28 BleepingComputer — HackerOne が発表したのは、同社のバグバウンティ・プログラムにおいて、倫理的ハッカーや脆弱性研究者に対して提供された報奨金が、累計で $300 million に達したことだ。これまでに、30人のハッカーが $1 million 以上の報酬金を獲得し、その中には $4 million 以上の報酬金を受け取った人もいるという。HackerOne は 10年以上前に設立されたバグバウンティ・プラットフォームであり、脆弱性や弱点を特定／報告する倫理的ハッカーたちに報酬を支払うことで、ソフトウェア・ベンダーとの関係を構築している。

生成 AI とフィッシング・メール：作成時間を 16時間も短縮するが内容に人間バージョンに劣る

Generative AI Can Save Phishers Two Days of Work

2023/10/24 InfoSecurity — IBM の最新研究によると、生成 AI ツールはフィッシングにおける詐欺メール・デザインを 16時間ほど短縮するが、より説得力のあるメッセージの作成に関しては、まだ人間のコツには及ばないという。今日、ソーシャル・エンジニアリングの専門家である Stephanie Carruthers は明らかにした研究プロジェクトの詳細は、人間の心と同じ欺瞞的な力を、生成 AI モデルが理解できるかどうかというものである。

Microsoft の最新 AI アシスタント Security Copilot：スピードを向上させてセキュリティ脅威に対抗

Microsoft announces Security Copilot early access program

2023/10/22 BleepingComputer — 今週に Microsoft が発表したのは、ChatGPT に似た AI アシスタント Security Copilot が、一部の顧客へ向けて早期利用が可能になったことだ。同社の AI 主導型セキュリティ分析ツールである Security Copilot は、Microsoft のグローバルな脅威インテリジェンスの専門知識と、最新の大規模言語モデルを用いることで、セキュリティ・チームが脅威に対抗するスピードを向上させる。

生成 AI 導入の急増：その一方でセキュリティ意識の遅れが懸念される

AI Adoption Surges But Security Awareness Lags Behind

2023/10/20 infosecurity — ChatGPT や Google Bard のような生成 AI ツールの採用と管理に関する新たな洞察が、ExtraHop の新しい調査により得られた。この調査は、グローバルにおける、1,200人以上の Security／IT のリーダーを対象としたものだ。回答者たちが最も懸念しているのは、不正確な回答 (40%) であり、それに続くのが、顧客や従業員の個人を特定できる情報 (PII) の漏洩 (36%)／企業秘密の漏洩 (33%)／財務上の損失 (25%) などである。

Google Play Protect による保護：悪意のアプリに対するスキャンと排除

Google Play Protect Bolsters Security Against Malicious Apps

2023/10/18 InfoSecurity — Google Play Protect の大幅なアップデートにより、Android 端末のセキュリティが強化される。Google によると、今回のアップデートは、モバイル端末を狙ったサイバー脅威の増加に対応するものだという。この Google Play Protect は、約 1250億個のアプリを毎日スキャンし、マルウェアや不要なソフトウェアを検出するために、すでに存在しているセキュリティ機能である。今日のブログ投稿で発表された新たな機能の強化は、コード・レベルのリアルタイム・スキャンを導入するものであり、進化する不正アプリへの対抗を目的とした事前の対策である。

AI ボットの脅威：すでに人間よりも素早く CAPTCHA を解読している

AI-enabled bots can solve CAPTCHAs faster than humans

2023/10/13 HelpNetSecurity — Kasada の調査によると、悪質なボット攻撃との戦いで、多くの企業が収益を失っているという。多くの企業が数百万ドルを費やし、従来からのボット管理ソリューションに取り組んでいるが、ボット攻撃による財務的な影響を受けている。回答者の 38% は、１回のボット攻撃で組織は $500,000 以上の損害を被っていると見積もっており、その数値は昨年の 25% から増加している。さらに、ボットによるアカウント詐欺により、昨年中に 10% 以上の収益を失った組織は 50% に上り、昨年の40%から増加している。

PyTorch Model モデルの脆弱性 ShellTorch が FIX：リモートコード実行の可能性

Warning: PyTorch Models Vulnerable to Remote Code Execution via ShellTorch

2023/10/03 TheHackerNews — PyTorch モデルを提供しスケーリングするための TorchServe ツールに、複数の深刻なセキュリティ上の欠陥があることを、サイバー・セキュリティ研究者たちが公表した。この問題を発見したイスラエルのランタイム・アプリケーション・セキュリティ企業 Oligo は、この脆弱性を ShellTorch と呼んでいる。

AI が作り出すフィッシング・メール：それを見分けることは不可能だ

AI-Generated Phishing Emails Almost Impossible to Detect, Report Finds

2023/10/02 InfoSecurity — AI チャットボットを悪用するサイバー犯罪者たちが、フィッシング・キャンペーンを展開する可能性が懸念されているが、メール・セキュリティ・プロバイダーの Egress によると、AI が作成したフィッシング・メールを検知することは、ほぼ不可能だとのことだ。10月2日に発表された Egress の Phishing Threat Trends Report によると、フィッシング・メールを AI 検知器で分析しても、71.4% の確率で、チャットボットと人間の見分けができないという。

Bing Chat チャットに御用心：マルウェアのダウンロードを推奨されることもある

Bing Chat responses infiltrated by ads pushing malware

2023/09/28 BleepingComputer — OpenAI の GPT-4 エンジンを搭載した Bing Chat が、検索業界における Google の優位性に挑戦するために、2023年2月から Microsoft により展開されている。従来の検索クエリや検索結果の形式ではなく、インタラクティブなチャット・ベースのエクスペリエンスをユーザーに提供することで、オンライン検索をより直感的でユーザー・フレンドリーにすることを、Bing Chat は目指している。そして Microsoft は、この新しいプラットフォームから収入を得るために、2023年3月から Bing Chat に広告を挿入し始めた。

Microsoft AI 研究部門の失敗：38TB のプライベート・データを誤って SAS 共有

Microsoft leaks 38TB of private data via unsecured Azure storage

2023/09/18 BleepingComputer — 2020年7月以降において Microsoft の AI 研究部門は、GitHub パブリック・リポジトリに、オープンソースの AI 学習モデルをコントリビュートする際に、誤って 38TB の機密データを流出させていた。それから約３年後に、クラウド・セキュリティ企業である Wiz が発見したのは、流出した情報を含む Azure Blob ストレージ・バケットの、ミスコンフィグレーションされた URL が、Microsoft の従業員により不用意に共有されていたことだった。

FraudGPT という悪意の生成 AI ツール：月額 $200 で ChatGPT の代替品

New AI Tool ‘FraudGPT’ Emerges, Tailored for Sophisticated Attacks

2023/07/26 TheHackerNews — WormGPT の足跡をたどる脅威アクターたちは、さまざまなダークウェブ・マーケットプレイスや Telegram チャンネルで、FraudGPT と名付けたサイバー犯罪生成 AI ツールを宣伝している。7月25日 (火) に発表されたレポートの中で、Netenrich の Security Researcher である Rakesh Krishnan は、「これは AI ボットであり、スピアフィッシング・メールの作成／クラッキングツールの作成／カーディングなどの攻撃に特化したものだ」と述べている。Netenrich によると、このサービスは遅くとも 2023年7月22日以降において、月額 $200 (半年 $1,000／1年 $1,700) で提供されているという。

AI を悪用する６つの攻撃パターン：Google による分類と解説とは？

Google Categorizes 6 Real-World AI Attacks to Prepare for Now

2023/07/21 DarkReading — Google の研究者たちは、現実の AI システムに対して起こり得る６つの攻撃スタイルを特定し、それらの一般的な攻撃ベクターが独特の複雑性を示すことを発見した。今週に発表した報告書の中で、Google の AI 専門レッドチームは、この急成長するテクノロジーに対する各種の脅威を、すでに発見していることを明らかにした。その内容は、ChatGPT や Google Bard などの、生成 AI 製品を駆動する LLM (large language models) を、攻撃者が悪用する方法が主体となっている。

AI と Open Source の関係：半数以上のプロジェクトで脆弱なパッケージが使用されている

Half of AI Open Source Projects Reference Buggy Packages

2023/07/20 InfoSecurity — AI テクノロジー・スタック全体で、オープンソースが役割を拡大しているが、大半のプロジェクト (52％) ではマニフェスト・ファイルを用いて、既知の脆弱な依存関係が参照されていると、Endor Labs は指摘している。セキュリティ・ベンダーである Endor Labs の最新レポート State of Dependency Management によると、ChatGPT の API はリリースから僅か５ヶ月で、”多様な問題領域”にまたがる 900件の npm／PyPI パッケージで使用されており、これらのパッケージの 70% は真新しいものだという。しかし、あらゆるオープンソース・プロジェクトと同様に、脆弱な依存関係に伴うセキュリティ・リスクは管理される必要があると、Endor Labs は警告している。

エンタープライズ・セキュリティにおけるマクロ・シフトを探る – Scale 調査

Exploring the macro shifts in enterprise security

2023/07/20 HelpNetSecurity — Scale の 2023 Cybersecurity Perspectives Survey によると、ランサムウェア攻撃とデータ侵害の成功件数は昨年１年間で 30％減少したが、ユーザー組織から報告されたセキュリティ・インシデントの種類は増加した。実際のところ、71％の組織が３種類以上のセキュリティ・インシデントを経験しており、前年比で 51％増となっている。特にクラウドの状況が急速に進化し、人手不足が続いている中で、ネットワークを保護するための困難な戦いに、セキュリティ・チームは直面し続けている。

E コマース調査：59％の決済詐欺の増加を経験し、51％がアカウント乗っ取りを経験

E-commerce Fraud Surges By Over 50% Annually

2023/07/11 InfoSecurity — Ravelin によると、世界の大半の eコマース業者は、過去12ヶ月間において詐欺に悩まされた後に、今年に入ってからは詐欺対策のスペシャリストを雇う予定だという。不正対策ベンダーである同社は、年間売上高 $50m の企業に勤務する世界の不正対策専門家 1,900人を対象に、Global Fraud Trends 2023 調査を実施した。その結果として、59％の回答者がオンライン決済詐欺の増加を経験し、51％がアカウント乗っ取りについても、同様の回答をしていることが明らかになった。

SaaS ポートフォリオ合理化の必要性：企業内の SaaS アプリの 51% がシャドー IT

53% of SaaS licenses remain unused

2023/07/04 HelpNetSecurity — 早急な対策を講じるべきだと Productiv が指摘しているのは、企業における調達／IT／財務部門のリーダーに対するものであり、支出とガバナンスの問題が制御不能に陥るのを防ぐための、SaaS (Software as a Service) ポートフォリオの合理化である。同社は、過去３年間に約１億の SaaS ライセンスが、どのように使用されたかを分析し、1,000億以上のアプリ使用データ・ポイントを含む、SaaS の成長／支出／統合／使用に関する、きわめて重要な SaaS の統計／洞察に関するレポートを提供している。

CISO の最大の懸念：サプライチェーンと API のセキュリティ – Salt Security

Supply Chain and APIs Top Security Concerns, CISO Survey Shows

2023/06/21 InfoSecurity — 最近の CISO (Chief Information Security Officers) 調査により、主要なセキュリティ懸念事項として、サプライチェーンと API が浮上していることが分かった。この調査は、API セキュリティ企業の Salt Security が委託し、Global Surveyz が実施したものであり、グローバルにおける 300人の CISO／CSO からの意見がまとめられている。この調査結果によると、CISO の 89％が、デジタル・サービスの急速な展開から生じ、重要なビジネス・データのセキュリティを脅かす、予期せぬリスクに取り組んでいるという。

ChatGPT のアカウント 10万件がダークウェブで販売されている：侵害されると何が起こる？

Over 100,000 ChatGPT Accounts Found in Dark Web Marketplaces

2023/06/20 InfoSecurity — OpenAI の LLM (Large Language Models) である ChatGPT の、10万件以上の侵害されたアカウントが、ダークウェブ・マーケットプレイスで発見された。それを発見した、シンガポール拠点のサイバー・セキュリティ企業 Group-IB が、6月20日のブログ記事で説明している。Group-IB の Head of Threat Intelligence である Dmitry Shestakov は、「多くの企業が、ChatGPT を業務フローに組み込んでいる。具体的なアクティビティとしては、従業員による機密通信の入力や、ボットを用いたコードを最適化などが挙げられる」とコメントしている。

Google の人工知能フレームワーク SAIF：生成 AI の開発／運用を保護するために

Google Launches Framework to Secure Generative AI

2023/06/09 InfoSecurity — 生成 AI が急速に進歩しているが、その悪意に関する創造的な方法を、人々が見つけることもある。数多くの政府は、AI 悪用のリスクを軽減するための、規制の計画を加速させようとしている。その一方では、一部の生成 AI の開発者たちは、自社のモデルやサービスの安全性を確保するために、どのような方法があるかを検討している。生成 AI チャットボット Bard の所有者であり、AI 研究機関 DeepMind の親会社である Google は、2023年6月8日に Secure AI Framework (SAIF) を発表した。

ChatGPT が推奨する OSS パッケージは安全なのか？ LLM に悪意を埋め込む PoC が公開

New ChatGPT Attack Technique Spreads Malicious Packages

2023/06/06 InfoSecurity — OpenAI の LLM である ChatGPT を悪用し、開発者たちの環境に悪意のパッケージを拡散させるという、新たなサイバー攻撃手法が登場した。Vulcan Cyber の Voyager18 research team は、先ほど発表したアドバイザリで、この問題について述べている。同社の研究者である Bar Lanyado と、コントリビュータである Ortal Keizman と Yair Divinsky は、「実際には存在しない URL やリファレンスを、さらにはコード・ライブラリや関数を、ChatGPT が生成することが確認されている。このような LLM (Large Language Model) モデルがもたらす幻覚は以前にも報告されていたが、古い学習データの結果として生じている可能性もある」と、技術文書で説明している。

高度なフィッシング攻撃が 356％も急増：2023 Annual Report – Perception Point 調査

Advanced Phishing Attacks Surge 356% in 2022

2023/05/25 InfoSecurity — Perception Point の調査により、高度なフィッシング攻撃の件数が、2022年は 356 ％増加したことが判明した。同社の 2023 Annual Report: Cybersecurity Trends & Insights に記されているのは、脅威アクターによる攻撃の総数は 87％増加したという最新データである。この成長の背景には、悪意のアクターが人工知能 (AI) や機械学習 (ML) を搭載した、新たなツールへのアクセスを、広く獲得し続けているという現実がある。

ChatGPT で作成されたポリモーフィックなマルウェア・サンプルを検出 – WithSecure 報告

AI Used to Create Malware, WithSecure Observes

2023/05/25 InfoSecurity — サイバー・セキュリティの世界では、脅威アクターの手に渡った AI がもたらす潜在的な脅威について、警鐘が鳴り続けている。その中でも、ChatGPT で作成されるマルウェアは、現実のものとなっているようだ。WithSecure の CEO である Juhani Hintikka は、ChatGPT により生成されたマルウェアのサンプルを、同社が発見したことを認めている。

GDPR は消費者の信頼を低下させた：IT リーダーの 66% が回答 – Macro 4 調査

Two-Thirds of IT Leaders Say GDPR Has Reduced Consumer Trust

2023/05/22 InfoSecurity — GDPR (General Data Protection Regulation) のあり方により、それぞれの企業に対する消費者の信頼が低下したという、IT リーダーの３分の２ (66％) の捉え方を、Macro 4 の最新調査が示している。2018年5月25日に、GDPR が欧州で施行されてから５年が経過し、個人データ保護の必要性に対する意識が高まった結果が、この調査に現れている。

AI による音声クローン作成：３秒間のデータがあれば詐欺の成功率は 85% というレベル – McAfee

Your voice could be your biggest vulnerability

2023/05/08 HelpNetSecurity — McAfee によると、オンライン音声詐欺の増加に AI 技術が拍車をかけており、人の声を複製するのに必要な音声は、わずか３秒であることが判明している。７カ国の 7,054人を対象に McAfee が調査したところ、成人の 4分の1 が何らかの AI 音声詐欺を経験したことがあり、10人に 1人が個人的に狙われ、15％が知人に起こったと回答している。結果として、被害者の 77％が騙され、金銭を失ったと回答している。McAfee Labs のセキュリティ研究者たちは、AI 音声クローニング技術と、サイバー犯罪者による悪用に関する、徹底的な調査から得た知見と分析を明らかにした。

BlackBerry 脅威レポート：１位米国／２位ブラジル／３位日本という攻撃頻度が判明

BlackBerry Report Surfaces Increasing Rate of Cyberattacks

2023/05/05 SecurityBoulevard — BlackBerry が発表した脅威インテリジェンス・レポートによると、同社のサイバー・セキュリティ・ソフトウェア／サービスを利用している組織に対して、2022年12月〜2023年2月には１分あたり12件のサイバー攻撃が行われ、そのうち 1.5件は新しいマルウェア・サンプルに基づく攻撃であることが判明した。BlackBerry のレポートでは、これらの攻撃が行われているロケーションの変化についても指摘されている。１位の米国に次いで、２位はブラジル、３位は日本、４位はカナダとなり、シンガポールが初めて Top-10 にランクインしたとのことだ。

フィッシングの 2022年を総括：AI ツールにより高度化／急増しているキャンペーン – Zscaler

AI tools help attackers develop sophisticated phishing campaigns

2023/04/25 HelpNetSecurity — Zscaler のレポートによると、フィッシング詐欺の手法が洗練され、検知やブロックが困難になっていることで、サイバー犯罪の脅威が増大しているとのことだ。このレポートでは、現代のフィッシング攻撃の大半が、盗まれた認証情報に依存していることも明らかにされている。さらに、最近トレンドとして、中間者攻撃 (AitM) や、InterPlanetary File System (IPFS) の利用増加、ブラックマーケットから調達したフィッシング・キット、ChatGPT などの AI ツールへの依存についても概説している。

VirusTotal の新機能 Code Insight：AI を活用してマルウェアを解析する

VirusTotal now has an AI-powered malware analysis feature

2023/04/24 BleepingComputer — 4月24日 (月) に VirusTotal は、Code Insight と命名された AI ベースの新しいコード解析機能の提供について発表した。この新機能は、RSA Conference 2023 で紹介された Google Cloud Security AI Workbench を搭載しており、特にセキュリティのユースケース向けに細かく調整された Sec-PaLM LLM (Large Language Model) を使用している。VirusTotal Code Insight は、潜在的に有害なファイルを解析して、その悪意の挙動を説明し、実際の脅威をもたらすものを特定する能力を向上させるという。

Facebook 上の ChatGPT／Google Bard 偽広告：RedLine スティラーを配布している

Attackers Hide RedLine Stealer Behind ChatGPT, Google Bard Facebook Ads

2023/04/12 DarkReading — サイバー犯罪者たちは、Facebook のビジネスページやコミュニティページを乗っ取り、ChatGPT や Google Bard などの正規のスポンサーを装い、AI チャットボットの無料ダウンロードを宣伝する広告を展開している。それらの広告に誘導されたユーザーは、AI チャットボットではなく、RedLine Stealer と呼ばれる有名な情報スティーラー・マルウェアをダウンロードしていることが、研究者たちの調査により判明した。RedLine Stealer とは、オンライン・ハッカー・フォーラムを通じて販売されている Malware-as-a-Service (MaaS) プラットフォームだ。Web ブラウザを標的にして、認証情報や支払いカードの詳細などの、様々なユーザー情報を収集する。さらに、次の攻撃にむけて攻撃対象領域を評価するために、システムのインベントリを取得する。

NTT の新たな MDR サービス：Microsoft Sentinel をベースに展開される

NTT Taps Microsoft to Provide MDR Service

3023/04/03 SecurityBoulevard — NTT Ltd が提供を開始した MDR (Managed Detection and Response) セキュリティ・サービスは、Azure クラウド・サービスにホストされている SIEM (Security Information Event Management) プラットフォーム Microsoft Sentinel をベースにしたものとなる。この NTT MDR サービスは、オンプレミス／クラウド環境における、あらゆるユーザー／デバイス／アプリケーション／インフラ・プラットフォームからデータを収集する。そして、このアプローチにより、NTT は高度な分析と機械学習アルゴリズムを適用して、効果的に攻撃を特定し阻止することが可能になるという。

ChatGPT／GPT-4 を止めろ：Musk／Wozniak などの著名人グループが申し立て

Musk, Scientists Call for Halt to AI Race Sparked by ChatGPT

2023/03/29 SecurityWeek — いつかは人間を凌駕するかもしれない、パワフルなな人工知能技術の展開において、テック企業の動きは速すぎるのだろうか。著名なコンピューター科学者や、Elon Musk、Apple の創業者 Steve Wozniak といったテック業界の著名人たちのグループは、リスクを考慮するために、６ヶ月間の一時停止を要求している。この申立は、サンフランシスコのスタートアップ OpenAI が、先日に発表した GPT-4 に対するものだ。広く使われている AI チャットボット ChatGPT を、さらに進化させた GPT-4 は、ビッグテックである Microsoft と Google のアプリケーション開発競争に火をつけるきっかけにもなっている。

Microsoft の AI セキュリティ：GPT-4 を搭載する Copilot のプレビューが始まった

Microsoft Introduces GPT-4 AI-Powered Security Copilot Tool to Empower Defenders

2023/03/28 TheHackerNews — 2023年3月28日 (火) に Microsoft は、Security Copilot のプレビュー版を発表した。それは、マシンのスピードとスケールで End−to-End 防御を提供するために、AI 指向の機能を組み込むことを、継続的に推進していくことを示すものだ。この、OpenAI の GPT-4 AI と、独自のセキュリティ専用モデルを搭載した製品は、サイバー・セキュリティ・アナリストによる、脅威への迅速な対応／シグナルの処理／リスク露出の評価を可能にする、セキュリティ分析ツールだとされている。

ChatGPT に企業データを投げ込むという行為：潜在的なリスクについて考えよう

The risk of pasting confidential company data into ChatGPT

2023/03/13 SecurityAffairs — Cyberhaven Labs の研究者たちが、各企業で働く 160万人の従業員による ChatGPT の利用状況を分析した。その結果として、発売以来人気のチャットボット・モデルを、彼らの 5.6％が職場で使用し、4.9％が企業データを提供していることが判明した。この種のデータを用いて、ChatGPT のナレッジベースは構築され、さらに、構築された情報は一般に公開されていく。

Brave Search が Summarizer を搭載：検索結果を AI で処理／表示するサービスを開始

Brave Search launches AI-powered summarizer in search results

2023/03/03 BleepingComputer — ユーザーが入力した質問に対して、要約された回答を検索結果よりも優先して提供する、新しい AI 搭載のツール Summarizer が、Brave Search に導入された。Brave Search は、ユーザーを追跡することなく匿名で Web 検索ができる、急成長中のプライバシー重視のインターネット検索エンジンである。いま、検索機能に AI 革命が起こっている。すでに Microsoft は、ChatGPT のアップグレード版を Bing 検索エンジンに組み込み、近い将来には Google も、Bard という独自の AI モデルで同様の機能を実装する予定だという。

ChatGPT とセキュリティの関係：ポジティブ？ネガティブ？判断は時期尚早？

ChatGPT Subs In as Security Analyst, Hallucinates Only Occasionally

2023/02/16 DarkReading — 今週に発表された調査結果によると、人気の Large Language Model (LLM) である ChatGPT は、その AI モデルが特定のアクティビティのために訓練されていなくても、潜在的なセキュリティ・インシデントのトリアージや、コード内のセキュリティ脆弱性を見つける防御者にとって、有益であると示唆される。

GitHub CoPilot への評価：AI モデルのトレーニングに開発者を利用して良いのか？

GitHub Copilot update stops AI model from revealing secrets

2023/02/15 BleepingComputer — GitHub の発表は、Visual Studio 上でソースコードや関数のレコメンドをリアルタイムに生成する、プログラミング・アシスタント Copilot の AI モデルを更新し、より安全で強力になったというものだ。今週からユーザーに展開される新しい AI モデルは、より質の高い提案を短時間で提供し、受け入れ率を高めることで、ソフトウェア開発者の効率をさらに向上させるという。

ChatGPT がフィッシングをプッシュ：2022年下半期の 61％増がさらに加速する？

Phishing Surges Ahead, as ChatGPT & AI Loom

2023/02/10 DarkReading — 2022年後半にキャンペーン量が大幅に増加するなど、フィッシングが勢いを増している。今週に発表された分析では、フィッシング・メールの総量は下半期に 61％も増加していたという。また、ChatGPT などの新しいツールの台頭により、この分野の勢いも加速する可能性がある。メール・セキュリティ企業である Vade が 2月9日に発表した Q4 2022 Phishing and Malware Report によると、フィッシング攻撃の量は 2022 Q3〜Q4 で 36％増加しており、研究者たちは 2022年10月〜12月の３月間で、2億7830万件のユニークなフィッシング・メールを調査したとのことだ。

Microsoft の AI Chat：Bing と Edge を強化する OpenAI 言語モデルとは？

Microsoft launches new AI chat-powered Bing and Edge browser

2023/02/07 BleepingComputer — 火曜日に Microsoft は、ChatGPT よりもパワフルであり、Web 検索用に訓練された次世代 OpenAI 言語モデルを搭載する、Bing 検索エンジンの新バージョンを発表した。Microsoft の CEO である Satya Nadella は、「AI は、すべてのソフトウェア・カテゴリを根本的に変革するが、その中でも最たるカテゴリは検索であり、そこから始まる。今日、私たちは、AI 操作とチャットを搭載した Bing と Edge を発表し、人々が検索と Web から、より多くのものが得られる」と、今日のプレスイベントで述べている。

ChatGPT に関する調査：IT リーダーの 51% がサイバー攻撃の中核になると回答

IT Leaders Reveal Cyber Fears Around ChatGPT

2023/02/03 InfoSecurity — BlackBerry の最新調査によると、ChatGPT が１年以内にサイバー攻撃の中核として成功すると、セキュリティ・リーダーたちの過半数 (51%) が予想していることが明らかになった。この、北米／英国／オーストラリアの IT 意思決定者 1500人を対象にした調査では、すでに ChatGPT が他国への悪意の目的で使用されている可能性が高いと、71% が推定していることも判明した。ChatGPT とは OpenAI が開発した人工知能 (AI) 言語モデルをチャットボット形式で展開し、ユーザーの質問に対して迅速かつ詳細な回答を提供するものであり、2022年末に製品化されている。

OpenAI がリリースした AI Text Classifier：書いたのは ChatGPT なのか？人間なのか？

OpenAI releases tool to detect AI-written text

2023/01/31 BleepingComputer — OpenAI が新たに公開したのは、ChatGPT のような人工知能ツールが生成したコンテンツを検出するための、AI Text Classifier である。OpenAI のブログポストには、「この AI Text Classifier は、テキストの各パートが、ChatGPT のような AI により生成された可能性を予測する、微調整された GPT モデル」と記されている。

ChatGPT でセキュリティを強化：2023年を変えていく３つの視点とは？

3 Ways ChatGPT Will Change Infosec in 2023

2023/01/28 DarkReading — 2022年11月30日に OpenAI が、ChatGPT をテスト用に公開した直後から、世界中に嵐を巻き起こった。AI や ML の「革新」に満足できなかった業界にとって、この反応は非常に重要なものだった。情報セキュリティにとって AI が、まさに革命的なものであることが、ようやく明らかになった瞬間だと、私は捉えているが、その可能性に期待してきた多くの人々も同様だと思う。

ChatGPT がもたらす変化：Social エンジニアリングから Prompt エンジニアリングへ

Malicious Prompt Engineering With ChatGPT

2023/01/25 SecurityWeek — 2022年末に、誰もが OpenAI の ChatGPT を利用できるようになったことで、AI の可能性が良くも悪くも実証された。ChatGPT は、大規模な AI ベースの自然言語生成器であり、LLM (Large Language Model) と呼ばれるものである。そして、プロンプト・エンジニアリングという概念を、一般に知らしめたものでもある。ChatGPT は、2022年11月に OpenAI がリリースしたチャットボットであり、OpenAI の LLM である GPT-3 ファミリーの上に構築されている。

ChatGPT が明らかにした問題点： AI を騙して悪用するのは簡単だ

Learning to Lie: AI Tools Adept at Creating Disinformation

2023/01/24 SecurityWeek — 人工知能は小説を書き、ゴッホにインスパイアされた画像を作り、山火事の消火活動を支援するにまでいたった。そして今、人工知能は、かつて人間に限られていた活動において、つまりプロパガンダや偽情報の作成において競争を始めた。オンライン AI チャットボット ChatGPT に、広く否定されている主張 (たとえば COVID-19 ワクチンは危険だという主張) を支持する、ブログ記事／ニュース記事／エッセイを作成するよう、研究者たちは依頼してみた。すると、このサイトは応じることがあり、オンライン・コンテンツのモデレーターを長年にわたり悩ませてきた、同様の主張と見分けがつかないほどの出来栄えで、それらを作文したという。

ChatGPT でマルウェア開発：継続的な変異により捕捉／検出が困難になる

ChatGPT Creates Polymorphic Malware

2023/01/18 InfoSecurity — CyberArk のサイバー・セキュリティ研究者が、OpenAI の ChatGPT とテキストベースの対話を行い、新たな多形態マルウェア (Polymorphic Malware) を作成したと報告している。先日に同社が InfoSecurity と共有した技術文書によると、ChatGPT を用いて作成されたマルウェアは、「攻撃者による努力や投資を大幅に抑制した上で、簡単にセキュリティ製品を回避し、緩和を面倒なものにする」ことが可能だという。

ChatGPT の悪用が始まる：人工知能の倫理をバイパスするロシアのハッカーたち

Russian Hackers Try to Bypass ChatGPT’s Restrictions For Malicious Purposes

2023/01/13 InfoSecurity — ロシアのサイバー犯罪者たちが、OpenAI の API 制限をバイパスして ChatGPT チャットボットにアクセスし、不正なアクションを試みる様子が、ダークウェブ・フォーラムで確認されている。ある脅威アクターたちは、OpenAI の無料アカウント制限を回避するために、アップグレード・ユーザーとして支払いに盗んだカードを使用する方法を議論していた。また、OpenAI の地理的なコントロールを回避する方法についてブログを投稿した者や、半合法的なオンライン SMS サービスを使って ChatGPT に登録するチュートリアルを作成した者もいる。

2022 サイバー攻撃調査：件数はグローバルで前年比 38% 増で Q4 は過去最大

Global Cyber-Attack Volume Surges 38% in 2022

2023/01/09 InfoSecurity — Check Point によると、昨年に記録されたサイバー攻撃の件数は、2021年との比較において 38％増とのことだ。前年同期比で最大の増加率 74％を記録した、医療機関への攻撃が急増したことや、小規模で機敏なハッキング集団の活動が主な原因であると、同社は述べている。全体として、2022年 Q4 に攻撃は過去最高を記録し、１組織あたりの週間平均攻撃回数は 1168回となった。週平均の数値が最も高かったのは、教育分野の組織 2314件／政府と軍 1661件／ヘルスケア 1463件である。

ChatGPT という人工知能：フィッシング／BEC／マルウェア開発に利用できる？

ChatGPT Artificial Intelligence: An Upcoming Cybersecurity Threat?

2023/01/06 DarkReading — 人工知能 (AI) に秘められる可能性は、サイバー・セキュリティへの取り組み方を含めて、私たちの生活の多くの側面に革命をもたらす。しかし、それは、慎重に管理する必要がある、新たなリスクと課題も提示している。AI をサイバー・セキュリティに活用する方法の１つは、サイバー脅威を検知して対応できる、インテリジェントなシステムの開発を通じてとなる。これは、ある AI チャット・ボットからの返答であり、私が AI とサイバー脅威について書いてほしいと頼んだときのものだ。もうお分かりだと思うが、この世で一番人気の ChatGPT である。

Google 調査：クラウドの API 利用におけるセキュリティ問題

Google: With Cloud Comes APIs & Security Headaches

2022/12/24 DarkReading — Web Application Programming Interfaces (API) は、クラウド・アプリとインフラの統合という意味で重要な役割を担っている。しかし、これらのエンドポイントへの攻撃は日々増加しており、これまでの 12カ月間において、企業の半数が API 関連のセキュリティ・インシデントが発生したと認めている。Google Cloud が実施した調査によると、企業の API 利用に影響を与える、最も厄介なセキュリティ問題として挙げられるのは、セキュリティのミスコンフィグレーション／古い API やコンポーネント／スパムとボットによる侵害である。そして、40％の企業はミスコンフィグレーションによるインシデントに対して、33％企業は後者の２つの問題に対して、取り組んでいるという。

Black Hat 2022：自社育成の Machine Learning で SOC の手法を転換

SOC Turns to Homegrown Machine Learning to Catch Cyber-Intruders

2022/12/03 DarkReading — フランスの銀行に所属する情報セキュリティ・チームが、ログデータを学習させた自社開発の機械学習モデルを用いて、ルールベースのセキュリティ・アプライアンスでは捕捉できなかった。３種類の新しいデータ流出パターンを検出できることを発見した。

Log4Shell 悪用と AI ポイズニング：企業のデータレイクに忍び寄る脅威とは？

Log4Shell Exploit Threatens Enterprise Data Lakes, AI Poisoning

2022/05/13 DarkReading — 人工知能 (AI) や機械学習 (ML) の導入が進み、企業のデータレイクは大容量化しているが、残念なことに、Java Log4Shell 脆弱性を介して悪用されやすいことが、研究者たちにより明らかにされている。一般的な組織は、プライバシー保護に配慮しながら、AI／ML アルゴリズムの学習用に可能な限り多くのデータポイントを取り込むことに注力しているが、データレイク自体のセキュリティ強化に手を抜いていることが、あまりにも多くなっているという。