Không biết lập trình nhưng vẫn viết được mã độc: Cách chatbot AI thông minh nhất thế giới trở thành 'đồng phạm' của giới hacker mũ đen

Chỉ cần truy cập website của ChatGPT, người dùng có thể hỏi không giới hạn chủng loại câu hỏi và nhận được nhiều phản hồi hữu ích đến bất ngờ từ chatbot này. Thậm chí, ChatGPT còn có thể lập trình hoặc sửa lỗi những đoạn code ở đủ loại ngôn ngữ lập trình phổ biến, hay viết các luận văn học thuật nếu được yêu cầu.

Tuy nhiên, sự đa tài và mạnh mẽ của ChatGPT cũng mang đến nhiều lo ngại về cách thức nó được tận dụng để phục vụ ý đồ xấu.

Cụ thể, kể từ khi OpenAI phát hành ChatGPT vào cuối tháng 11, nhiều chuyên gia bảo mật đã dự đoán rằng việc giới tội phạm mạng có thể bắt đầu sử dụng chatbot AI để viết mã độc hay hoạt động xấu khác chỉ là vấn đề thời gian. Chỉ vài tuần sau đó, những lo ngại trên đã thành sự thật.

Theo báo cáo của các nhà nghiên cứu tại công ty bảo mật Check Point, có ít nhất 3 trường hợp hacker mũ đen chia sẻ trên các diễn đàn ngầm cách họ tận dụng ChatGPT cho các mục đích xấu.

Công cụ này có thể tìm kiếm, sao chép và xâm nhập vào 12 loại file phổ biến, chẳng hạn như tài liệu Office, PDF và hình ảnh trên máy tính bị nhiễm mã độc.

Hacker này cũng tiết lộ về việc mình đã sử dụng ChatGPT để viết các đoạn code bằng ngôn ngữ Java, với chức năng âm thầm tải một phần mềm điều khiển server từ xa và chạy nó một cách bí mật trên máy bị nhiễm mã độc.

Trong một bài viết khác, một hacker có biệt danh USDoD cũng đã đăng tải một công cụ được ChatGPT tạo ra trên ngôn ngữ Python, vốn có chức năng mã hóa và giải mã dữ liệu bằng thuật toán mã hóa Blowfish và Twofish.

Các chuyên gia bảo mật tại Checkpoint phát hiện ra rằng, mặc dù công cụ này có thể được sử dụng cho các mục đích tốt, nó có thể được chỉnh sửa một cách dễ dàng để âm thầm chạy trên hệ thống mà không cần bất kỳ tương tác nào của người dùng – cho thấy tiềm năng để nó có thể phát triển thành một mã độc tống tiền (Ransomware).

Một điểm rất đáng lưu ý: Khác với trường hợp của hacker được đề cập tới đầu tiên, vốn có khả năng tự viết phần mềm đánh cắp thông tin, hacker có biệt danh USDoD dường như có kĩ năng lập trình hạn chế hơn nhiều. Trên thực tế, công cụ mà USDoD tạo ra dưới sự hỗ trợ của ChatGPT cũng là dòng code Python đầu tiên mà hacker này từng viết ra, theo thừa nhận của chính USDoD.

Trong trường hợp thứ ba, các nhà nghiên cứu tại Checkpoint đã phát hiện một tội phạm mạng đang thảo luận về cách anh ta sử dụng ChatGPT để tạo ra một chợ giao dịch tự động trên Dark Web, vốn được để mua bán tài khoản ngân hàng và dữ liệu thẻ thanh toán bị đánh cắp, công cụ hay phần mềm độc hại, ma túy, đạn dược và nhiều loại hàng hóa bất hợp pháp khác.

"Để minh họa cách sử dụng ChatGPT cho các mục đích này, hacker này đã hé lộ một đoạn mã code sử dụng API của bên thứ ba để cập nhật giá của một số đồng tiền điện tử (như Monero, Bitcoin và Ethereum). Đây một phần của hệ thống thanh toán của chợ giao dịch trên Dark Web," các chuyên gia bảo mật tuyên bố.

Nhiều chuyên gia bảo mật khẳng định, ChatGPT vô hình trung đã hạ thấp đáng kể ngưỡng trình độ cần có để viết mã độc.

Sergey Shykevich, chuyên gia bảo mật tại Check Point, khẳng định với ChatGPT, hacker giờ đây thậm chí không cần có kinh nghiệm về lập trình để viết mã độc. Lý do khá đơn giản, chatbot được mệnh danh là ‘thông minh nhất thế giới’ này sẽ tự động làm hết mọi việc.

"Bạn chỉ đưa ra yêu cầu là là cần viết một phần mềm độc hại — hoặc bất kỳ công cụ nào của bạn - cùng những chức năng cần phải có. ChatGTP sẽ viết ra một công cụ cho bạn với đúng những chức năng được yêu cầu”.

Do đó, "mối quan tâm ngắn hạn chắc chắn đến từ việc ChatGPT đang tiếp tay cho tội phạm mạng có trình độ thấp cơ hội phát triển các phần mềm độc hại," Shykevich nói.

"Về lâu dài, tôi cho rằng giới tội phạm mạng với trình độ cao siêu hơn cũng sẽ tận dụng ChatGPT để cải thiện hiệu quả hoạt động, hoặc để lấp đầy các lỗ hổng trong trình độ hay kiến thức của họ”.

Brad Hong, giám đốc chăm sóc khách hàng tại Horizon3ai - công ty bảo mật cho khách hàng là các doanh nghiệp cũng đồng tình với ý kiến này.

Theo đó, từ quan điểm của giới tội phạm mạng, các đoạn mã code do AI tạo ra cho phép các hacker dễ dàng thu hẹp khoảng cách về kiến thức. Hacker không còn phải thành thạo quá nhiều ngôn ngữ lập trình, khi giờ đây AI đã trở thành cuốn từ điển biết trả lời câu hỏi.

Nói cách khác, thay vì phải tốn công sức tìm kiếm thông tin trên các diễn đàn hay thư viện dành cho nhà phát triển như Stack Overflow, GitHub, mọi việc đã trở nên dễ dàng hơn khi AI có thể tạo ra các mã độc đúng theo ‘đơn đặt hàng’ của tội phạm mạng, ông Brad Hong cho biết.

Trên thực tế, ngay từ trước khi giới giới hacker ‘mũ đen’ sử dụng ChatGPT để viết mã độc, nhiều đối tượng trong số này đã có thể biết tận dụng chatbot AI này trong đủ các hoạt động lừa đảo khác nhau.

Chẳng hạn, các chuyên gia bảo mật tại Checkpoint đã thử tạo ra một email lừa đảo có nội dung rất đáng tin. Cách thực hiện cũng khá đơn giản, khi các chuyên gia bảo mật yêu cầu ChatGPT tạo ra một email được gửi từ một đơn vị cung cấp dịch vụ lưu trữ trên web, vốn thực chất không tồn tại.

Qua những ví dụ này, các chuyên gia bảo mật tin rằng đây là cách giới tội phạm mạng có thể lạm dụng mô hình trí tuệ nhân tạo như ChatGPT để tạo thành một 'chuỗi lây nhiễm hoàn chỉnh', từ việc lừa đảo qua email, cho tới tạo cửa hậu (backdoor) trong máy tính người dùng để các mã độc xâm nhập.

Đơn cử, các bộ lọc và cơ chế điều khiển, vốn luôn được cải tiến không ngừng, đã được trình làng trong các công cụ AI để hạn chế việc lạm dụng công nghệ bởi những kẻ có ý đồ xấu.

Cũng phải nói thêm rằng, ở thời điểm hiện tại, việc các công cụ AI vẫn còn khá ‘sơ khai’ và chưa thực sự đáng tin, điều đó có thể khiến giới hacker mũ đen có đôi chút ngần ngại trong việc nhờ cậy trí tuệ nhân tạo. Tuy nhiên, khi các công cụ này càng hoàn thiện thêm, nguy cơ AI bị lạm dụng vẫn là mối lo ngại xét về mặt lâu dài, theo nhận định của nhiều chuyên gia bảo mật.

Để giới tội phạm mạng khó lạm dụng công nghệ hơn, các nhà phát triển sẽ cần đào tạo và cải thiện công cụ AI của chúng có thể xác định các yêu cầu bị nghi là phục vụ mục đích xấu, theo chuyên gia Shykevich. Cũng theo chuyên gia này, một tùy chọn khác có thể được xét đến, đó là áp dụng yêu cầu xác thực và ủy quyền để sử dụng công cụ OpenAI – tương tự như những gì các tổ chức tài chính trực tuyến hay dịch vụ thanh toán online đang làm.