AI 極有可能提升各種安全性，並有助於實施保護措施。但且慢！正如本文中提到它在一項更新服務所展現的那樣：它不夠快，也還不夠專業到足以被信任。
文／Susan Bradley‧譯／ Nica
現在，似乎大家都急著將 AI 嵌入自有解決方案裡，安全性產品就是最近獲得矚目的新產物。我和大家一樣，看到了 AI 有助於帶來積極改變的潛力，但也發現它成為威脅媒介的可能。 對某些人來說，最近的 AI 走向是一場玩笑。2023 年四月一日，這個技術與社群網站喜歡愚弄大家，通常會精心設計一場鬧劇的傳統節日，MITRE ATT&CK 平台的 Twitter 帳號，發起 #attackgpt Twitter 機器人活動，邀請使用者套用 #attackgpt 話題標籤，產生「AI」回應防止駭客的相關知識問題。
事實上，這是 MITRE 社交媒體團隊以聊天機器人偽裝隨便開玩笑回答的四月愚人節惡作劇。 對許多人而言，AI 聊天機器人的興起不是玩笑。AI 佈署與生俱來的濫用風險對 CISO 來說不是新鮮事，公司企業已開始建立專屬部門，確保 AI 遵循道德標準。 我有更深的隱憂：如果資安機器人提供的資訊完全錯誤怎麼辦？就網路安全來說，它需要用到許多資源並動用調查人員才能得出安全性弱點風險相關的結論。若 AI 不知道最近的威脅或弱點，它所貢獻的安全性就有漏洞，會讓使用者暴露在風險之中。
第一次評估往往不是正確的那個
在這個誘餌式標題新聞充斥的年代，我看到的是過於廣泛或完全錯誤的安全性新聞標題，它指出議題時廣泛到言過其實，或將某項攻擊敘述得過於普遍。如今，入侵行為比較傾向於攻擊特定目標而非特定產業，但你無法從新聞標題得知。若 AI 就是從這裡得到輸入，輸出就會有錯。
通常，在技術決策中，第一個判定的資安問題很可能不是正確的。就 2021 年涉及佛羅里達水處理工廠的網路攻擊頭條新聞的案例來看，很多人擔心攻擊者能夠遠端控制水系統，使用過多化學物質危害或對水系統下毒。這場攻擊不僅迎來新聞發表會，甚至讓 CISA 對攻擊的可能性發出警告。最終問題的根源來自人類行為與不良安全性衛生習慣所致。歹徒並非遠端網路攻擊，而是透過「利用網路安全弱點：包括簡陋的密碼安全性與過時的作業系統」進入。
若 ChatGPT 當時以它的建議與指導方針作為初期發佈的安全性情報，就會告知使用者錯在遠端攻擊者，進而提供保護系統免於遠端攻擊的指南。埋藏在長期被遺忘的後續跟進動作裡的實情是：問題其實在於人為因素。你收到的可行動指導方針不會是如何調查人為疏失，你會收到內容豐富的指南，但不會建議你採取保障免於身邊實際威脅所需的實際行動。
精確的 AI 情報很重要
GPT-4 現行實作、微軟人工智慧作為基礎的 ChatGPT 最新版本，對時下新聞與資訊一無所知。若你問它有關三月份 Office 更新修補的 Outlook 0-day 弱點，官方 ChatGPT 介面會表示它不知道此項最新安全性問題相關資訊，接著產生如下回應：
「很抱歉，我的知識截至 2021 年，沒有 CVE-2023-23397 相關可用資訊。這很可能是由於它是仍未被發現或指派的假設性 CVE。 必須注意的是，CVE 是指派給公開揭露網路安全漏洞的唯一識別碼，因此若未先發現或公開揭露，將來 CVE 就不可能指派給該弱點。 若你有更多關於這個 CVE 的相關資訊，請你提供，我會盡全力協助。」
若你向微軟搜尋引擎 Bing 的 AI 詢問此議題，會收到更好的回應，但依然不夠精確。它會表示：
「CVE-2023-23397 是微軟 Windows 上 Outlook 的重大特權提升漏洞。當威脅行動者遞送特定編寫的訊息給 user1 時就會被不當利用。成功利用這個漏洞將造成未經授權存取企業組織資源。微軟已發佈針對此弱點的修補與建議，供使用者立即套用。若你認為自己可能成為目標或已遭威脅行動者不當利用而感染，微軟提供了利用該弱點攻擊的調查指南。 」
AI 安全性指南不足之處
以下是我認為 AI 提供的這份指南不足之處。若詢問 Bing AI 如何套用 CVE-2023-23397 修補程式，它的陳述是：
「要套用 CVE-2023-23397 修補程式，你必須安裝 Outlook 安全性更新：無論你郵件代管位於何處（例如 Exchange Online、Exchange Server 或其他平台）。若你的系統組建編號等於或高於以下所示，那麼你已準備好了。若你的系統組建版本數字較低，就需要透過 Windows Update 進行修補。要找到你的系統組建版本，請開啟應用程式（例如 Outlook），再點選 File、Office Account。組建資訊應位於你視窗正中央。」
這個平台沒有對許多人說清楚的是，Outlook 修補程式是在背景程式默默收到。若他們安裝的是 Microsoft 365 Office，有可能安全性更新是在每月第二個周二後的某個時間點背景執行。若你擔心系統沒收到隨選即用的更新，我的建議是使用修補程式管理工具監控你辦公室佈署的 Office 365 的版本與系統組建編號。換句話說，確保更新已是最新版本的方法是為工作站佈署 script，讓它一周檢查一次 365 佈署已經是最新的，或依需檢查。
AI 仍不夠專業
Microsoft 365 已經沒有「修補程式」需要安裝，而是背景執行的安裝程序，對終端使用者而言是靜默的。修補程式突然就在那。只有安裝的是使用 MSI 安裝程式的舊平台，才會在每個月第二個周二收到修補程式。因此，我對 AI 使用上的擔憂是，它缺乏適切安全性指南要的準確性，還是會提供一般性資訊 – 無法提供足夠的可行動內容。簡而言之，這是錯誤的，而且不會有好結果。
人工智慧可以強化人類行為最好與最壞的一面。它能提供可行動資訊，或依據從不正確結論所搜集到的假設為基礎所得到的不準確結論。Microsoft 的 Security Copilot 將納入 AI，目前為止僅在討論階段仍未發表。請放心，我很有興趣看看它是否能收集最佳、最新的安全性指南，並剔除最糟部份。
