챗GPT 활용한 악성 공격 실험 사례, 이미 여럿 존재한다 외 5건

요약	- 다크웹 내 포럼에서 활동하는 사이버 범죄자들이 챗GPT를 악성 공격에 활용한 사례들이 공유 - 챗GPT를 사용해 악성코드나 피싱메일 등 해킹도구를 개발한 사례가 적발 ※ 챗GPT: 미국 오픈AI가 개발한 대화형 인공지능(AI) 채팅로봇. 대규모 AI모델인 ‘GPT-3.5’ 언어 기술을 사용해 이용자와 실시간으로 대화가 가능
내용	- 오픈AI의 서비스약관 > 랜섬웨어, 키로거, 바이러스 또는 일정 수준의 피해를 입히려는 기타 소프트웨어 생성을 시도하는 콘텐츠를 악성코드로 정의하고 생성을 구체적으로 금지 > 사이버 범죄를 겨냥한 사용과 스팸 생성 시도도 금지 - 챗GPT가 작성해준 코드 스크립트에 약간의 작업만 거치면 랜섬웨어나 키로거 등을 만들 수 있다는 사실을 확인 > 공격자들은 챗GPT가 작성해준 코드 스크립트를 일부 수정 작업을 거쳐 랜섬웨어 등으로 탈바꿈 > 챗GPT를 통해 해커가 기존보다 더 신뢰할 수 있고 적법한 것처럼 보이는 피싱 이메일을 만들 수 있게 될 것 > 이같은 방법을 타 공격자들과 공유 - 다크웹 내 공개 사례 ① 다크웹 해킹 포럼에서 누군가 챗GPT를 활용해서 예전부터 잘 알려진 멀웨어를 개발하는 실험을 진행했다고 공개 > 챗GPT가 자신의 명령에 따라 개발한 파이선 기반 정보 탈취 멀웨어의 코드 일부를 공유_12가지 종류의 파일을 훔쳐내는 멀웨어 > 챗GPT에게 명령을 내려 PuTTY SSH와 텔넷 클라이언트를 다운로드 받는 자바 코드를 만들었고, 파워셸을 통해 피해자 시스템에서 몰래 실행시키는 데에 성공 ② 12월 1일 사용자 USDoD가 챗GPT를 사용해 생성한 파이선 스크립트를 다크웹에 공개 > 블로피시(Blowfish)와 투피시(Twofish)라는 암호화 알고리즘을 사용해 데이터를 암호화 하고 복호화 하는 기능 > 공격자들이 악의적인 목적을 달성하기 위해 얼마든지 활용할 수 있으며 경험 없이도 쉽게 뭔가를 만들어 내는 게 가능하다고 강조 ③ 챗GPT를 사용해 완전 자동화 된 다크웹 시장 플랫폼을 구축 > 훔쳐 낸 은행 계좌 및 지불 카드 데이터를 거래하는 데 특화된 시장이 > 자신의 말을 입증하기 위해 서드파티 API를 활용하는 방법까지 공개   - 챗봇은 이미 예전부터 범죄 시장으로의 진입 장벽을 크게 낮출 기술로 꼽혔었음 > 챗GPT와 같은 챗봇은 사람의 말을 듣고(혹은 읽고) 반응하는 기술 > 공격자들이 멀웨어를 손쉽게 대량으로 만들어내는 것이 챗GPT가 단기간에 가져올 수 있는 가장 실질적인 위협 > 기술을 갖춘 공격자가 챗봇을 악용하면 이전과 비교할 수 없는 발전을 이룰 수 있으며, 아무도 생각하지 못했던 새로운 멀웨어를 만들어낼 수 있음 - 챗GPT 언어모델이 보다 정교해지면 공격자들의 간단한 명령어만으로 악성코드나 피싱메일 프로그램을 보다 쉽게 개발할 수 있음 > 초보 해커도 손쉽게 피싱 범죄에 가담하는 등 사이버 범죄 진입 장벽이 대폭 낮아질 것 > 부족한 기술적 배경지식과 전문 기술을 보완할 가능성 > 시스템 취약점을 찾아내고 이를 악용한 제로데이 공격까지 유발하는 단계로 진화될 수 있음
결론	- 오픈AI와 인공지능 개발자들은 인공지능 알고리즘을 향상시키는 중 > 공격자들이 무료로 얻어 활용할 수 있는 도구들이 무한정 태어나고 있다는 뜻 > 챗GPT를 교란시켜 악의적 목적을 달성하는 방법은 해킹 포럼들에서 활발히 공유되는 중 > 지금 향상시키고 있는 각종 인공지능 알고리즘이 악성 명령을 판단해 거부할 수 있도록 훈련시키는 것이 필요 - 규제를 통해 챗GPT가 범죄에 사용되지 못하도록 보호가 시행돼야 할 필요 > 챗GPT를 활용한 사이버 범죄가 아직까지 위협적인 수준은 아니라고 지적 有 > 코드 품질에 대해 알 수 없는 상황이며, 완성도 높은 코드를 생성한 사례는 보고되지 않음 > 챗GPT를 규제하는 것은 섣부른 판단 - 오픈AI 측에서 내부 모니터링 및 차단 등 내부적인 대응 방법을 찾아낼 필요 > 오픈AI 측도 이러한 위험성을 인지하고 AI가 범죄에 악용되는 것을 막기 위해 시스템을 고도화하는 중 > “불법적이거나 비윤리적인 목적으로 코드를 개발하는 것을 도와줄 수 없다”라며 답변을 거부 > 노골적인 질문에 대한 답변만을 거부할 수 있을 뿐, 우회적인 질문을 입력할 경우 답변을 얻을 수 있다고 설명 - 업계와 정부 측이 이러한 악용사례를 예방하기 위해 프로그램을 고도화하고 다양한 해결책을 제시할 필요

 

보안뉴스

챗GPT 활용한 악성 공격 실험 사례, 이미 여럿 존재한다

비밀번호 털어간 초보 해커, 공범은 '챗GPT'? - 머니투데이

"다크웹에서도 챗GPT"...사이버 공격 활용 사례 늘어난다 - 테크M

‘챗GPT’ 스팸 이메일도 쓴다… AI 활용 ‘해킹 공격’ 주의보

다크버스에도 챗GPT 열풍…초보해커들도 쉽게 악성코드 제작

AI 챗봇 챗GPT, 악성코드 작성에도 쓰인다