GPT-4 ya puede explotar las vulnerabilidades 0-day

Desde los comienzos del desarrollo de la inteligencia artificial, muchos han sido los expertos que han apuntado a los posibles peligros. Sin embargo, tampoco se puede olvidar todas las ventajas que está aportando esta nueva tecnología a las empresas. Sin embargo, ahora algunas investigaciones vuelven a poner la IA generativa en el punto de mira, ya que existen serias preocupaciones de que podría amenazar a la ciberseguridad, pudiendo explotar vulnerabilidades 0-day por sí misma.

Concretamente ha sido un estudio reciente de Universidad de Illinois Urbana-Champaign (UIUC) revela un avance significativo en los modelos de lenguaje grande (LLM) que les aporta capacidad para explotar vulnerabilidades de seguridad sin intervención humana. Investigadores se centraron en GPT-4 de OpenAI, y descubrieron su capacidad para encontrar y explotar de forma independiente fallas de seguridad críticas que no han sido parcheadas, como las de día cero.

Este hallazgo plantea importantes preocupaciones para la ciberseguridad, especialmente porque pueden ser una herramienta más para ayudar al cibercrimen, incluso sin conocimientos profundos de seguridad informática, democratizando los ataques. Según esta investigación, la tasa de éxito es del 87% en pruebas controladas, lo que puede resultar alarmante. Esto supera a otros modelos probados, incluido su predecesor GPT-3.5, que tuvo una tasa de éxito del 0%.

No obstante, esto también es positivo para los desarrolladores, ya que la IA de GPT-4, entre otros modelos, podría ayudar a detectar vulnerabilidades, generar CVEs y solucionarlas de forma rápida, lanzando los correspondientes parches o actualizaciones. Por tanto, podría ser una herramienta que ayude en las estrategias de mitigación si se usa de forma adecuada.Y es que, en un panorama tan cambiante, los expertos en seguridad tienen que adaptarse a los nuevos desafíos que presenta la tecnología.

Preocupaciones futuras con GPT-5

Según los investigadores de la UIUC se han quedado sorprendidos por las capacidades de GPT-4, que incluso puede detectar vulnerabilidades de día cero cuando los escáneres de código abierto no las detectan. Y dado que OpenAI ya está trabajando en GPT-5, el sucesor, prevé que se convertirá en una potente herramienta para el cibercrimen entre script-kiddies y entusiastas de la automatización sin conocimientos profundos de ciberseguridad.

Por ahora, no se conoce una fecha exacta del lanzamiento de GPT-5, pero muchos expertos ya trabajan seriamente en tratar de paliar estos problemas usando las mismas armas que usan los atacantes…