Ez az oldal a közösségért készül. 
Kövess minket máshol is: 
Ha hasznosnak találod, és szeretnéd, hogy folytatódjon, támogasd a munkát 
A kiberbiztonsági szakértők arra hívják fel a figyelmet, hogy minél több információt teszünk közzé az interneten, annál nagyobb támadási felületet biztosítunk a social engineering jellegű támadásoknak.
Az utóbbi időszakban egyre népszerűbb, hogy a felhasználók arra kérik a ChatGPT-t, hogy a róluk és a munkájukról elérhető információk alapján készítsen karikatúrát. Az így készült képeket gyakran megosztják a közösségi médiában. Első ránézésre ez a szórakozás ártalmatlannak tűnhet, ugyanakkor biztonsági szempontból több kockázati tényezőt is felvet
A Fortra biztonsági elemzője, Josh Davies szerint a trend növelheti a social engineering támadások, az LLM-alapú fiókátvételek, valamint az érzékeny adatokhoz való illetéktelen hozzáférés kockázatát. Bár jelenleg nincs tudomás széles körű visszaélésről, a nyilvánosan elérhető tartalmak mennyisége és részletessége alapján a fenyegetés nem tekinthető pusztán elméletinek. Február elejéig több millió ilyen tartalom jelent meg az Instagramon, gyakran a felhasználói profilokra mutató hivatkozásokkal.
Amennyiben egy támadó sikeresen átveszi az adott LLM-fiók feletti irányítást, hozzáférhet a prompt-előzményekhez, amelyek érzékeny, akár vállalati adatokat is tartalmazhatnak, amelyek később értékesíthetők, csalásokhoz vagy további támadásokhoz felhasználhatók, illetve érzékeny tartalom esetén zsarolás alapjául is szolgálhatnak. A The Register korábbi jelentései szerint számos munkavállaló személyes chatbotfiókot használ feladatai támogatására, miközben sok szervezet nem rendelkezik teljeskörű rálátással arra, hogy milyen külső MI-szolgáltatások férnek hozzá a vállalati adatokhoz vagy alkalmazásokhoz.
Davis hangsúlyozta, hogy egy támadónak nincs szüksége kiemelkedő technikai képességekre. A közösségi média felhasználónév, a nyilvános profiladatok, valamint a generált képen és leírásban szereplő információk kombinálásával, nyílt forrású információgyűjtési (OSINT) technikák segítségével azonosítható lehet az áldozat e-mail-címe. Ezt követően célzott adathalász módszerekkel, hitelesítőadat-gyűjtő oldalakkal vagy közbeékelődéses (attacker-in-the-middle) támadásokkal átvehető a fiók feletti irányítás.
A kockázat csökkentése érdekében Davies szerint a szervezeteknek első lépésként gondoskodniuk kell arról, hogy teljes rálátásuk legyen a munkavállalók által használt LLM- és egyéb MI megoldásokra. Ezt követően javasolt olyan szabályozási és irányítási keretrendszert kialakítani, amely lehetővé teszi a nem engedélyezett alkalmazások azonosítását, valamint azok vállalati rendszerekhez és adatkörökhöz való hozzáférésének korlátozását.
Javasolja továbbá a kompromittálódott hitelesítő adatok folyamatos monitorozását is. Bár a bemutatott eset elsősorban a személyes LLM-fiókok használatára fókuszál, Davis megjegyezte, hogy a vállalati hitelesítő adatok kompromittálódása lényegesen súlyosabb biztonsági következményekkel járhat.
