Hace dos años, ChatGPT apareció en el mundo, marcando el inicio de una nueva era en la inteligencia artificial. La integración de tecnologías de IA como ChatGPT ha tenido un impacto significativo en la ciberseguridad, ayudando a analizar datos y detectar patrones que podrían pasarse por alto en revisiones manuales. Sin embargo, la facilidad de acceso a estas herramientas también ha permitido que los ciberdelincuentes las utilicen para crear correos electrónicos de phishing más convincentes, generar código malicioso y crear deepfakes para engañar a las personas.
Los ataques de ransomware, que ya eran una amenaza considerable, se han vuelto más sofisticados gracias a la IA. Un ejemplo importante es el ataque de 2023 a la filial estadounidense de ICBC. Además, herramientas impulsadas por IA como ChatGPT han hecho que las estafas de correo electrónico empresarial (BEC) sean aún más peligrosas, ya que pueden automatizar e imitar el estilo de escritura de ejecutivos, lo que hace que los correos fraudulentos sean casi indistinguibles de los legítimos.
La tecnología de clonación de voz, también impulsada por IA, ha añadido una nueva dimensión al robo de credenciales. Los ataques de “vishing”, que utilizan voces deepfake de ejecutivos de empresas, representan una amenaza significativa incluso para las organizaciones más seguras. Un caso notable fue cuando los hackers usaron un deepfake del CEO de LastPass para intentar convencer a un empleado de realizar una transferencia bancaria grande.
Asimismo, los videos generados por IA pueden ser utilizados para engañar a víctimas desprevenidas. Estos ataques ahora superan las barreras del idioma, ya que la IA puede generar contenido escrito, de audio o video sin errores, eliminando las señales de advertencia que antes se asociaban con ataques que contenían errores ortográficos y gramaticales.
Las organizaciones están implementando cada vez más características de IA en sus tecnologías de seguridad para combatir amenazas en evolución. Sin embargo, a pesar de las capacidades de ChatGPT y otros modelos, no pueden reemplazar la experiencia humana en ciberseguridad, que siempre será necesaria para garantizar una supervisión adecuada y que las recomendaciones de IA sean precisas y contextualmente relevantes.
Desde una perspectiva de ingeniería social, intentar identificar cuándo un ataque es generado por IA puede no ser la mejor manera de abordar el problema. En cambio, es más efectivo observar de dónde proviene el ataque, qué solicita y qué tipo de urgencia se enfatiza. Al hacerlo, las personas tienen más probabilidades de detectar y defenderse contra ataques, independientemente de si son generados por IA o no.
En un contexto más amplio, mantener una buena higiene cibernética sigue siendo crucial. La capacitación de empleados, el control de acceso, la actualización de sistemas y la planificación de respuesta a incidentes son prácticas vitales para construir una organización segura.
Mirando hacia el futuro, es evidente que ChatGPT y otras herramientas de IA seguirán evolucionando y manifestándose de diferentes maneras, convirtiéndose en algo tan común como los motores de búsqueda en internet. El desarrollo continuo de la IA impulsará la innovación tanto en actividades ofensivas como defensivas en ciberseguridad. Los atacantes probablemente utilizarán estas capacidades para realizar ataques más complejos, mientras que los defensores usarán la IA para identificar y predecir amenazas, automatizar respuestas a incidentes y convertirse en un aliado confiable.
Es importante recordar que la IA, incluida ChatGPT, es en última instancia una herramienta que puede ser utilizada tanto para fines constructivos como destructivos. El uso ético de la IA en ciberseguridad será una preocupación primordial. Para navegar por este desafío, necesitamos tres elementos clave:
1. **Legislación**: Una legislación inteligente que se mantenga al día con los avances tecnológicos y equilibre la innovación con la seguridad y la privacidad será crucial a medida que la IA progrese. La Ley de IA de la UE, que se espera que se finalice a finales de 2024, tiene como objetivo regular la IA mediante un enfoque basado en riesgos, clasificándola en cuatro categorías: inaceptable, alta, limitada y mínima. La IA de alto riesgo enfrentará requisitos estrictos, mientras que las aplicaciones de riesgo mínimo permanecerán en gran medida sin regulación.
2. **Marcos éticos**: Marcos éticos sólidos que guíen el desarrollo y la implementación de la IA en ciberseguridad garantizarán su uso responsable, previniendo sesgos, discriminación y violaciones de privacidad, mientras promueven la transparencia, la equidad y la responsabilidad.
3. **Educación y concienciación**: Programas de educación y concienciación continuos ayudarán a los profesionales de ciberseguridad, responsables políticos y al público en general a comprender las implicaciones de la IA en el ecosistema digital. Cuanto más se hable sobre los problemas y desafíos de la IA, mejor podremos tomar decisiones informadas y evitar la dependencia excesiva de los sistemas de IA.
Al centrarnos en estas áreas, podemos trabajar hacia un futuro donde la IA mejore la ciberseguridad global sin comprometer nuestros valores o libertades. Aunque no será fácil, es el camino esencial para permitir que la IA sea una parte integral, pero gestionada, de un mundo digital más seguro para todos.
