Seguridad

Sophos muestra cómo hacer de ChatGPT un copiloto de ciberseguridad

Sophos, líder mundial e innovación y entrega de ciberseguridad como servicio, ha publicado una nueva investigación acerca de cómo el sector de la ciberseguridad puede aprovechar GPT-3. Éste es el modelo de lenguaje que utiliza ChatGPT como copiloto para ayudar a derrotar a los ciberatacantes.

El informe "La aplicación del procesamiento lingüístico a las ciberdefensas", detalla varios proyectos efectuados por el equipo de Sophos X-Ops en los que se han usado los amplios modelos lingüísticos de GPT-3 con el objetivo de simplificar la búsqueda de actividad maliciosa en conjuntos de datos de software de seguridad. También para filtrar con mayor precisión el spam y para acelerar el análisis de ataques de archivos binarios "living off the land" (también llamados LOLBin).

La IA, un aliado más que como un enemigo

"Desde que OpenAI mostró ChatGPT en noviembre, el sector de la ciberseguridad se ha centrado especialmente en los riesgos potenciales que podría generar esta vanguardista tecnología. Pero, ¿puede ayudar la IA a los aspirantes a ciberatacantes a escribir malware o, incluso, a ayudar a los ciberdelincuentes a escribir correos electrónicos de phishing más convincentes? Seguramente, pero, en Sophos, hace tiempo que vemos la IA, realmente, como una aliada más que como un enemigo, convirtiéndola en una tecnología fundamental para Sophos, y GPT-3 no es diferente. El sector de la ciberseguridad tendría que prestar atención, no sólo a los riesgos potenciales, sino a su vez a todas las oportunidades que ofrece GPT-3", comenta Sean Gallagher, Investigador principal de amenazas de Sophos.

Los 3 proyectos experimientales de Sophos

Los investigadores de Sophos X-Ops han estado trabajando en 3 proyectos experimentales que demostrarán el potencial de GPT-3 como asistente de los profesionales de la ciberprotección. Además, podrían ayudar a los expertos en seguridad a buscar, dar con y bloquear actividades maliciosas de forma mucho más eficaz, utilizando los amplios modelos lingüísticos de la familia GPT-3.

Los 3 proyectos usan una técnica de nombre "few-shot learning (FSL)", o aprendizaje en pocos pasos, por su traducción aproximada al castellano. Ésta consiste en un marco de Machine Learning capaz de entrenar el modelo de IA con únicamente unas pocas muestras de datos. Se trata de un modelo que permite al algoritmo generalizar sobre novedosas categorías de datos, aunque nunca se hayan visto antes, utilizando únicamente unas pocas muestras de datos, reduciendo así la necesidad de recopilar un gran volumen de datos preclasificados.

Proyecto 1: Interfaz de consulta en lenguaje natural para poder buscar actividad maliciosa

La primera aplicación que Sophos ha probado es una interfaz de consulta en lenguaje natural que filtra actividad maliciosa en la telemetría XDR (están todos los datos que recopilan el software de seguridad sobre el funcionamiento de sus soluciones, como email, endpoint o servidores). Sophos ha puesto a prueba el modelo con su producto EDR (endpoint protection and response). La interfaz, que se basa en GPT, toma comandos escritos en inglés sencillo, por ejemplo: “Muéstrame todos los procesos que se han llamado powershell.exe y han sido ejecutados por el usuario root”. Se generan, por tanto, consultas XDR-SQL, sin que el usuario tenga que entender la estructura subyacente de la base de datos, ni tampoco el propio lenguaje SQL.

Los modelos de GPT-3 pueden ajustarse con el tiempo conforme se posean más datos, aplicando un proceso acumulativo donde no es necesario volver a ejecutar todo desde cero al incluir más datos de entrenamiento. El modelo más amplio efectuado por Sophos para este proyecto ha dado respuestas muy precisas en más del 80% de los casos.

Son preguntas en lenguaje natural que usan datos que había visto como parte del entrenamiento. Además, en el 70,5% de las veces al tratar preguntas que incluían datos que el éste no había visto antes. Se prevé el uso de sus capacidades en nuevas versiones de productos de Sophos.

Proyecto 2: Un detector de spam basado en GPT

El Machine Learning ya se ha aplicado con anterioridad a la detección de spam usando diferentes tipos de modelo. De todos, Sophos ha probado un nuevo filtro de spam usando ChatGPT, descubriendo que, en comparación con otros modelos, el filtro de GPT-3 es mucho más preciso, superando con creces otros métodos de Machine Learning tradicionales cuando la cantidad de datos usada para el entrenamiento sea pequeña.

Proyecto 3: Herramienta que analiza líneas de comandos ejecutados en archivos binarios "living of the land" (LOLBin)

Los investigadores de Sophos también han creado un programa para simplificar el proceso de ingeniería inversa de las líneas de comandos de LOLBins. Este tipo de ingeniería inversa es difícil de realizar, porque hay mucha confusión y son códigos largos y difíciles de analizar. Además, resulta fundamental hacerlo para comprender el comportamiento de LOLBins y también frenar este tipo de ataques.

Las ventajas que aporta ChatGPT es que puede escribir líneas de código en diferentes lenguajes de programación y scripting cuando se le da una entrada en lenguaje natural. Pero, por otro lado, es posible entrenarle para hacer lo contrario. Es decir, generar descripciones analíticas a partir de líneas de comandos o fragmentos de código. Para conseguir la descripción más precisa de GPT-3, el equipo de SophosAI usó un enfoque llamado retrotraducción, un proceso en el que los resultados de una traducción de una cadena de comandos a lenguaje natural tornen a GPT-3 para traducirlos otra vez a cadenas de comandos de código y también compararlos con el original. Este proceso puede generar información complementaria y lograr ayudar en análisis mucho más complejos.

Todas las preocupaciones actuales

"Una de las preocupaciones crecientes en los centros de operaciones de seguridad es la gran cantidad de "ruido" que llega. Existen demasiadas notificaciones y detecciones que analizar. Además, muchas empresas cuentan con recursos limitados. Hemos demostrado, pues, que con herramientas como GPT-3, podemos simplificar ciertos procesos que requieren mucho trabajo y proporcionar un tiempo valioso a los expertos en seguridad. Estamos trabajando ya en la incorporación de algunos de los experimentos anteriores a nuestros productos. Hemos puesto los resultados de nuestros proyectos a disposición de los interesados en probar GPT-3 en sus entornos de análisis en nuestro GitHub. De cara al futuro, creemos que GPT-3 podría convertirse en un copiloto habitual para aquellos expertos en seguridad", termina Gallagher.