ChatGPT带来的苦恼 Akamai零信任方案让AI更安全

即使是不关注互联网的普通大众，这些天也会被ChatGPT刷屏。针对千奇百怪的问题，人们惊讶于ChatGPT给出的回答。

虽然人们就ChatGPT展开了热烈的讨论，既有积极的前景预测，也有悲观的观点，但是毋庸置疑，我们已经不可忽视AI给我们带来的影响。

ChatGPT或生成式AI带来的苦恼

AI带来的影响既有好的一面，也有坏的一面。比如已经有一些网络犯罪分子利用ChatGPT编写恶意软件同时，ChatGPT或生成式AI或将引发以下潜在的威胁：

网络钓鱼是网络犯罪分子通过发送欺诈性信息窃取网上银行登录账号和密码、信用卡信息、企业登录凭证、密码/口令等保密信息的一种手段。网络钓鱼通常以电子邮件为途径，不过这种骗局现在已经从可疑的电子邮件扩展到电话（所谓的“电话诈骗”）、社交媒体、短信（又称“短信诈骗”）和应用程序。

AI和机器学习解决方案可能擅长识别社会工程学和恶意内容方面的趋势，但当涉及到发件人身份时，由于电子邮件攻击者改变身份的速度很快，它们无法提供很多有用的信息。

Check Point Research最近发表的一篇文章说明了如何使用AI模型创建一个从鱼叉式网络钓鱼到反弹shell的完整感染流程，可以快速生成多个有变化的脚本，还可以将复杂的攻击过程自动化，使用LLMs API生成其他恶意工件。另一个风险更加突出：借助像ChatGPT这样的AI技术，攻击者能够将大规模网络钓鱼的数量与有针对性的攻击（或鱼叉式网络钓鱼）相融合。

尽管垃圾邮件过滤器已经十分强大，但危险的网络钓鱼邮件仍然会“见缝插针”。除了向服务商举报发件人之外，普通人能做的并不多。但有能力的威胁发起者可以利用邮件列表和ChatGPT做很多事情。

最需要注意的一点是这个先进的聊天机器人突然对网络安全造成的威胁。ChatGPT的创建者本人在一条推文中也表示，我们已经离危险的强人工智能越来越近，这种人工智能会带来巨大的网络安全风险。未来十年，随着真正的通用人工智能（AGI）日益成为现实，我们不得不认真对待这种风险。

在一项对北美、英国和澳大利亚IT专家的调查中，51%的人表示，ChatGPT驱动的网络攻击可能在今年年底前出现；71%的人表示，他们认为民族国家可能已经在利用该技术对付其他国家。

零信任是企业应对攻击的最佳方法

勒索软件是一个复杂的问题，但勒索软件的预防可以归结为一点：不管是什么终端，所有流量都需要接受检查和控制。

需要注意的是，勒索软件要想发挥作用就必须移动。无论勒索软件来自哪里，它都必须找到一个可以访问和加密高价值数据的地方。它在移动时往往需要多次跳转并跨越多个设备和服务器。每一次跳转都会产生纵向（即在用户设备和服务器之间移动）或横向（即在服务器之间移动）流量。因此，为了阻止勒索软件，必须检查和控制所有流量，验证流量是否获得授权和含有恶意软件。

组织机构必须将防御勒索软件视为每个人的事情，而不是把这件事全部交给一支常常超负荷工作且资源不足的信息安全团队。为了做好这种防御，每个人都必须承诺采用零信任框架，即不再假定身份、设备和权限的有效性与授权。

采用零信任解决方案的一个主要好处是能够阻止一种关键的攻击技术，即在组织机构内部相互连接、错综复杂的设备、网络、应用程序、证书和数据库中横向移动。只有阻止这种跨越整个组织机构基础设施和架构的隐形渗透，才能有效、持续地阻止勒索软件，即便攻击者一开始已通过一些潜在的脆弱载体突破了外围。

这种预防措施必须能够自动进行，而不必完全依赖人工监控和事后反应。注意最为重要的是停留时间——许多网络威胁，比如勒索软件等在被检测到之前已经在企业内停留了数周乃至数月。

只有在设备和用户身份层面实时执行零信任流程、实践和工具，组织机构才能在数据被锁住并被勒索赎金之前有效地检测、抵御和减少勒索软件的影响。

威胁有时也会绕过防御措施。组织机构必须部署一项能够在勒索软件突破这些初始防御后，保护关键信息和基础设施的策略。因此，必须检查和控制横向流量（即内部服务器之间的流量）。在大多数情况下，勒索软件至少需要进行一次横向跳跃，才能找到高价值数据并造成破坏。另外，如果遇到通过物理接触发起的攻击，唯一能够阻止勒索软件传播的方法可能就是防止该攻击在服务器之间跳转。

比如对电子邮件采取“零信任”的方法可以帮助组织机构将主要重点放在身份认证上，确保进入企业环境或终端用户收件箱的电子邮件来自合法的个人、品牌和域名，从而抵御电子邮件欺骗攻击。

Akamai的零信任解决方案

零信任原则是一种端到端策略，所以这种安全策略需要所有元素之间的整合，不适合使用几个松散的单点解决方案。企业应该将整套零信任安全策略扩展到企业的所有实体，包括身份、网络和应用程序。

Akamai 区域副总裁暨大中华区总经理李昇认为，在日益复杂的网络攻击环境中，为了维护网络安全，确保用户能够在去中心化的网络中获得安全的数字体验，企业必须将安全厂商的产品和工具整合到自己的风险控制体系中，形成一套完整的风险控制体系。

Akamai区域副总裁暨大中华区总经理 李昇

此外，企业应该充分利用在帮助客户保护系统免受此类攻击方面有丰富经验的资深平台数据和安全专家，还应该采取零信任方法来进一步加强自身的安全。

Akamai强大的产品组合可以为现代企业提供所有至关重要的零信任解决方案。企业无需安装、运行和修复多种安全产品，只需要通过一家厂商就能获得所有必要的技术，享受更低的成本和更高的运营效率。

比如Akamai的微分段技术（Akamai Guardicore Segmentation）是防止恶意软件在企业内部传播的重要手段。该技术从逻辑上将企业划分为不同的部分，每个部分都有自己明确的安全控制措施，使每个进程只与它需要沟通的进程进行沟通。这种方法解决了恶意软件通过横向移动在企业内部传播的问题。

从传统到现代、从Windows到Linux、从本地到虚拟化和容器等等，Akamai零信任解决方案几乎包罗万象。凭借出色的监测能力，用户可以了解到每一项工作负载的来龙去脉。Akamai先进的内部威胁狩猎服务使企业的安全团队始终能够走在威胁和网络攻击的前面。

面对AI浪潮，我们防患于未然

目前，有69个国家的800多项AI政策倡议将要出台，但还没有涉及生成式AI模型的应用。现有和拟定的AI法规涵盖了几个具体的用例（例如数据隐私、歧视、监控等）以及具体的决策（例如招聘、借贷、网站推荐、公共合同等），大多数此类法规是为了应对AI对人和社会的潜在有害影响而制定的。

2023年网络安全的首要威胁可能是犯罪服务；不法之徒可以在这些平台上向那些本来无法进行网络攻击的人提供服务。由于ChatGPT能够加快恶意软件的创建过程而且不收取任何费用，这可能使犯罪服务对网络罪犯来说更加有利可图。犯罪软件企业将继续威胁任何规模的企业。他们可以帮助入门级的网络罪犯实施犯罪，这比直接对受害者实施犯罪赚得更多，而且风险更小。

在积极的和消极的结果之间，AI技术的发展一直在进行着一场竞赛。面对蓬勃发展的AI浪潮，我们应该让其发挥应有的价值，而减少其负面效应。如果以负责任的方式来构建和使用，AI将会创造繁荣并丰富人们的生活。安全应该是AI发展的首要前提。