Ciberseguridad: Desafíos ante las Nuevas Herramientas de Inteligencia Artificial

Miércoles 09 de Agosto, Edición Ciclo de Riesgo

Un Doctor en Ingeniería Informática aborda el incremento de delitos en la web, la emergencia de tecnologías innovadoras y ofrece orientación.
 

Según las estadísticas proporcionadas por la Policía de Investigaciones de Chile, PDI, el sabotaje informático experimentó un aumento alarmante del 95% entre los años 2017 y 2021. En cifras concretas, este incremento se traduce en un salto de 547 a 1.119 casos durante dicho período. Paralelamente, el espionaje también experimentó un incremento del 61% en el mismo lapso.

Hoy en día, la conversación en torno a las herramientas basadas en Inteligencia Artificial (IA) plantea la inquietante posibilidad de que esta tecnología sea capaz de imitar voces con el fin de engañar a individuos. Surge una interrogante relevante: ¿quién podría cuestionar con certeza si una llamada proviene realmente de un familiar o un amigo cercano que solicita dinero, especialmente cuando la voz es reconocible?

Estos cambios significativos en el panorama de la delincuencia informática subrayan la importancia de examinar de cerca cómo se están gestando los delitos cibernéticos principales y cuál es el estado actual de la ciberseguridad. En este contexto, el ingeniero civil informático, Doctor en Ingeniería Informática y docente de la Facultad de Ingeniería de la Universidad de Concepción (UdeC), Pedro Pinacho, abordó estos temas con detenimiento y profundidad.

Según la perspectiva de Pinacho, en un período de 10 a 15 años, el panorama de las amenazas cibernéticas ha experimentado cambios significativos. En el pasado, incluso los ataques solían ser esporádicos y estaban vinculados principalmente a objetivos de oportunidad o eran considerados juegos. Sin embargo, en la actualidad, la situación ha evolucionado. Pinacho afirmó que el cibercrimen se ha profesionalizado y monetizado de manera notable. De hecho, ha surgido una "industria pujante" de cibercriminales con conexiones internacionales, involucrados en actividades clandestinas que generan importantes beneficios económicos.

Pinacho destacó: "Estamos hablando de grupos de expertos en tecnología e informática que pueden pasar hasta un año infiltrados en un sistema antes de ejecutar un ataque y un robo. Este cambio de enfoque ha transformado el panorama, y ​​en este sentido, estamos constantemente inmersos en un juego de ingenio, donde a medida que las herramientas evolucionan, ellos también perfeccionan sus habilidades".

Desde el año 2022 en adelante, se ha producido una explosión disruptiva de nuevas herramientas en el campo de la Inteligencia Artificial, las cuales se están actualizando a un ritmo acelerado. Notables son los modelos generativos basados ​​en Aprendizaje Profundo (redes neuronales de aprendizaje profundo), los cuales tienen el potencial de ser utilizados con intenciones maliciosas, como la creación de imágenes, audios y textos fraudulentos y/o especialmente ofensivos. Actualmente, disponemos de una amplia variedad de herramientas avanzadas y modelos de lenguaje de gran envergadura, tales como GPT-3.xo GPT-4 AIpaca desarrollado por la Universidad de Stanford, así como LLaMA-x creado por Meta.

La faceta más delicada en el ámbito de la ciberseguridad reside en el denominado vector social o vector humano. Hace poco, lamentablemente, falleció Kevin Mitnick, una figura considerada el hacker más célebre de todos los tiempos y quien fue el arquitecto del concepto de ingeniería social. Precisamente, la ingeniería social es lo que vuelve a los sistemas más vulnerables y está intrínsecamente vinculada al engaño perpetrado por el atacante.

Un ejemplo palpable es el conocido como el "cuento del tío". También nos encontramos con el phishing, una artimaña en línea, y diversas acciones dirigidas a persuadir a las personas. Aunque muchas de estas tácticas pueden parecer toscas, la existencia de herramientas automáticas para recopilar datos, como las de inteligencia de fuente abierta u Open Source Intelligence (OSINT), permite rastrear a individuos por su nombre y elaborar un perfil completo a partir de información pública, que suele ser con más amplitud de lo que uno podría suponer. Utilizando esta información, se puede nutrir un depósito de datos y emplear un modelo de lenguaje sofisticado, como GPT, para generar el contenido de phishing. De esta manera, el antiguo y burdo phishing se transforma en un spear-phishing, que se dirige específicamente a un objetivo y probablemente logre persuadir a alguien a caer en la trampa. El mensaje citará a familiares y detentará información precisa, como lugares de compra, logrando que el mensaje cobre sentido para el destinatario. Esta es la verdadera preocupación: estas herramientas tienen la capacidad intrínseca de sintetizar el lenguaje de manera más eficiente que nosotros.

Un atacante que aprovecha una herramienta para generar cientos de mensajes de esta naturaleza puede aumentar significativamente la probabilidad de que el engaño sea exitoso. Ésta es la situación con la que nos enfrentamos. En última instancia, luchamos contra la habilidad de estas herramientas para sintetizar y manipular el lenguaje, lo que puede tener un impacto profundo en la eficacia de los ataques cibernéticos y en la protección de nuestros sistemas y datos.

La perspectiva alentadora radica en que la comunidad del software libre está descubriendo herramientas basadas en este paradigma a un ritmo que supera incluso sus propias expectativas. Aunque los códigos de estos megamodelos como GPT no han sido difundidos públicamente, la compañía responsable de su creación mantiene un control exclusivo sobre su uso. Para acceder, es necesario suscribirse y pagar, lo que añade un nivel de poder innegable. No obstante, en contraposición, han sido liberados al público algunos modelos similares que utilizan esta misma tecnología, si bien son de menor envergadura, más ágiles y eficientes.

Ejemplos notables son Alpaca, desarrollado en Stanford, y Llama, concebido por Meta. Estas creaciones, en esencia, son resultados de investigaciones académicas y se han puesto a disposición de manera libre, sin restricciones en cuanto a su uso. Cumplen la función de herramientas que pueden ser empleadas para diversos propósitos.

Algunas recomendaciones:

1.- Evitar entregar datos que no sean necesarios.

2.- Mantener perfiles más bajos en redes sociales, especialmente, cuando se trata de niños.

3.- Mucho cuidado con las credenciales de correos electrónicos personales y sobre todo las corporativas, estas últimas son muy buscadas para cometer whaling, un tipo de phishing dirigido a personas de alto rango en una empresa.

4.- Realizar mucha rotación de contraseñas, en lo posible, cambiarlas con regularidad y no reciclarlas.