Avec environ 180 millions d'utilisateurs dans le monde, les professionnels de la sécurité ne peuvent pas se permettre d'ignorer ChatGPT. Ou plutôt, les risques associés à ChatGPT. Qu'il s'agisse du personnel de l'entreprise qui colle accidentellement des données sensibles, des attaquants utilisant ChatGPT pour cibler le personnel avec des e-mails de phishing, ou de la violation de ChatGPT et de l'exposition des informations des utilisateurs - il existe de multiples risques pour les données et les systèmes de l'organisation qui doivent être pris en considération.
Dans ce guide, nous approfondissons les différents risques auxquels toutes les organisations sont potentiellement confrontées en raison des vulnérabilités de sécurité de ChatGPT. Mais nous ne sommes pas là pour vous faire peur. Ce guide propose des pratiques et des solutions pour minimiser ces risques tout en permettant aux employés de profiter des avantages de productivité de l'IA générative. Pour tirer le meilleur parti de ce guide, nous vous recommandons de lire les risques et les meilleures pratiques, de les comparer à votre pile et à votre plan global, de mettre en évidence les lacunes qui devraient être comblées et de travailler à combler ces lacunes.
Qu'est-ce que ChatGPT ?
ChatGPT est un chatbot IA qui peut comprendre et générer un texte de type humain en fonction des entrées (invites) qu'il reçoit. Cela permet à ChatGPT d'effectuer un large éventail de tâches polyvalentes, comme rédiger des e-mails, coder, offrir des conseils judicieux et s'engager dans des conversations nuancées sur divers sujets. En conséquence, ChatGPT est devenu très populaire et est utilisé par des millions d'utilisateurs dans le monde.
ChatGPT est alimenté par un LLM (grand modèle de langage) appelé GPT (Generative Pre-trained Transformer). Les modèles GPT sont des modèles qui traitent les informations comme un cerveau humain. Cela leur permet de déduire le contexte, la pertinence et les relations entre les données. Étant donné que les modèles GPT ont été formés sur divers ensembles de données, leurs résultats sont applicables dans un large éventail d'applications.
ChatGPT et GPT ont été développés par OpenAI. Le dernier modèle GPT publié par OpenAI est GPT-4, capable d'interpréter à la fois les entrées de texte et d'image. ChatGPT peut fonctionner sur GPT-4, pour les utilisateurs payants, ou sur GPT-3.5, pour les forfaits non payants, entre autres options.
Malgré ses capacités innovantes, la sécurité de ChatGPT et ses risques potentiels suscitent également des inquiétudes croissantes. Voyons lesquels.
Pourquoi la sécurité de ChatGPT est une préoccupation croissante
L'inquiétude croissante concernant la sécurité de ChatGPT provient de ses capacités étendues de traitement et de génération de texte de type humain, associées aux grandes quantités de données saisies par les utilisateurs. Cela en fait l’un des outils modernes les plus puissants pour l’innovation, mais aussi pour l’exploitation. Le problème de sécurité de ChatGPT n’est pas sans fondement. Début 2023, OpenAI a identifié et corrigé un bug qui permet aux utilisateurs de voir les titres et le contenu de l'historique de discussion des autres utilisateurs. Si ce contenu incluait des données sensibles, il était révélé aux utilisateurs externes.
Le problème avec ChatGPT est la nécessité d’équilibrer productivité et sécurité. Les entreprises et les particuliers s'appuient de plus en plus sur ChatGPT pour diverses applications, du service client à la création de contenu. Toutefois, cela signifie que le risque d’utilisation abusive devient également plus répandu. Par conséquent, il est important de s’assurer qu’aucune information sensible ou confidentielle n’est saisie.
La formation des employés et les outils de sécurité pertinents peuvent répondre à ces préoccupations de ChatGPT. Ils peuvent protéger contre les abus et les fuites de données et contribuer à accroître la vigilance face aux attaques et aux hallucinations. En outre, il est important d'introduire des directives éthiques et de sécurité dans les entreprises, concernant les types de données qui peuvent être saisies et celles qui ne le peuvent pas. Ensemble, les outils, la formation et les processus peuvent garantir aux entreprises la productivité de ChatGPT sans les risques de sécurité.
Vulnérabilités de sécurité ChatGPT
Il existe quatre scénarios principaux dans lesquels ChatGPT pourrait devenir un vecteur de violations de données :
1. Utilisation abusive par les employés de l'organisation
Lorsque les employés interagissent avec ChatGPT, ils peuvent involontairement saisir ou coller des informations sensibles ou exclusives sur l'entreprise dans l'application. Cela peut inclure le code source, les données client, les adresses IP, les informations personnelles, les plans commerciaux, etc. Cela crée un risque de fuite de données, car les données saisies peuvent potentiellement être stockées ou traitées d'une manière qui n'est pas entièrement sous le contrôle de l'entreprise.
D’une part, ces données pourraient être stockées par OpenAI ou utilisées pour le recyclage du modèle, ce qui signifie que les adversaires ou les concurrents pourraient y accéder via leurs propres invites. Dans d’autres cas, si les attaquants violent OpenAI, ils pourraient accéder à ces données.
Un accès non autorisé à des données sensibles pourrait avoir des implications financières, juridiques et commerciales pour l'organisation. Les attaquants peuvent exploiter les données à des fins de ransomware, de phishing, d’usurpation d’identité, de vente d’IP et de code source, etc. Cela met la réputation de l'entreprise en danger, pourrait entraîner des amendes et d'autres mesures juridiques et pourrait nécessiter des ressources importantes pour atténuer l'attaque ou payer des rançons.
2. Attaques ciblées utilisant les capacités de ChatGPT
Même les organisations dont les employés n'utilisent pas ChatGPT ne sont pas exemptées de son impact potentiel sur leur sécurité. Les attaquants peuvent utiliser ChatGPT comme leur propre booster de productivité et l'utiliser pour attaquer l'organisation. Par exemple, ils peuvent l'utiliser pour créer des e-mails de phishing sophistiqués, pour des attaques d'ingénierie sociale, pour collecter des informations qui pourraient être utilisées dans d'autres attaques contre une organisation, ou pour le développement ou le débogage de codes malveillants.
3. Attaques contre ChatGPT lui-même
Dans ChatGPT, nous faisons confiance ? Des millions de personnes se sont tournées vers ChatGPT pour leurs tâches professionnelles et considérations personnelles les plus importantes, en partageant des données confidentielles. Mais que se passe-t-il si la sécurité d’OpenAI est compromise ? Une violation réussie d'OpenAI via les vulnérabilités ChatGPT pourrait signifier que les attaquants accèdent aux données sensibles traitées par le système d'IA. Cela inclut les invites saisies par les utilisateurs, l'historique des discussions, les données utilisateur telles que les e-mails et les informations de facturation, ainsi que les métadonnées des invites telles que les types et la fréquence des invites. Le résultat pourrait être des violations de la vie privée, des violations de données ou un vol d’identité.
4. Risques juridiques et de conformité
De nombreuses organisations utilisent ChatGPT dans des environnements réglementés par les lois sur la protection des données (par exemple, RGPD, HIPAA). Cependant, les organisations pourraient par inadvertance enfreindre ces réglementations si ChatGPT traite les données personnelles sans garanties adéquates, ce qui entraînerait des sanctions juridiques et une atteinte à leur réputation.
Risques de sécurité ChatGPT pour les entreprises
ChatGPT Security fait référence à toutes les mesures et protocoles de sécurité mis en œuvre pour assurer la sûreté et la sécurité liées à l'utilisation de ChatGPT. Ceux-ci sont nécessaires pour se prémunir contre les risques suivants :
1. Risques liés à l’intégrité des données et à la confidentialité
Violations de données/vol de données/fuite de données
La capacité de ChatGPT à traiter de grandes quantités d'informations augmente le risque de violations de données. Si des informations sensibles sont saisies dans le modèle, il existe un risque de fuite de données. Cela peut se produire si les mesures de sécurité de la plateforme sont compromises ou si ces données sont utilisées pour entraîner le modèle et sont ensuite fournies en réponse à une invite d'un concurrent ou d'un attaquant.
La collecte d'informations
Des acteurs malveillants pourraient exploiter ChatGPT pour collecter des informations sensibles en s'engageant dans des conversations apparemment inoffensives conçues pour extraire des données de reconnaissance. Cela peut inclure des informations sur les systèmes et les composants réseau utilisés par les entreprises, les pratiques de sécurité utilisées pour les surmonter, les pratiques sur la manière d'attaquer les systèmes, les informations sur les préférences des utilisateurs, les métadonnées des utilisateurs, etc.
Diffusion de fausses informations
ChatGPT peut par inadvertance diffuser de fausses informations, des faits trompeurs ou fabriquer des données. Cela peut se produire en raison d'hallucinations ou si des attaquants saisissent intentionnellement de fausses informations dans ChatGPT, elles sont donc incluses dans la formation du modèle et fournies dans d'autres réponses. Cela pourrait conduire à une prise de décision basée sur des informations inexactes, affectant l’intégrité et la réputation de l’entreprise.
Propagande automatisée
À titre d’exemple de ce qui précède, la capacité à générer un contenu persuasif et personnalisé peut être utilisée à mauvais escient pour diffuser de la propagande ou manipuler l’opinion publique à grande échelle.
Réponses fabriquées et inexactes
Semblable à la diffusion de fausses informations, celle-ci implique que ChatGPT génère des réponses fausses ou trompeuses qui pourraient être considérées à tort comme factuelles, affectant les décisions commerciales et la confiance des clients.
2. Biais et préoccupations éthiques
Biais de modèle et de sortie
Les biais inhérents aux données de formation peuvent conduire à des résultats faussés ou biaisés. Par exemple, si les réponses font une distinction entre les groupes ethniques ou les sexes lors de la prise de décisions concernant l'embauche ou les promotions. Cela pourrait conduire à une prise de décision contraire à l’éthique et potentiellement entraîner des problèmes de relations publiques et des conséquences juridiques.
Risques liés à la protection des consommateurs
Les entreprises doivent naviguer entre l'exploitation des capacités de ChatGPT en matière de productivité et la garantie de ne pas nuire par inadvertance aux consommateurs par des résultats biaisés ou contraires à l'éthique. Ils doivent également s'assurer que les employés n'incluent pas d'informations personnelles ou d'informations sensibles sur les clients dans les invites, ce qui pourrait constituer une violation des réglementations en matière de confidentialité.
Atténuation des biais
Même si OpenAI s’efforce de réduire les préjugés, le risque demeure que tous les préjugés ne soient pas correctement traités, ce qui conduit à des pratiques ou des résultats potentiellement discriminatoires.
3. Cas d'utilisation malveillante
Développement de logiciels malveillants et de ransomwares
ChatGPT peut être utilisé à mauvais escient pour développer des scripts de malware ou de ransomware sophistiqués, posant ainsi des menaces de sécurité importantes pour les entreprises. Bien qu'il soit contraire à la politique d'OpenAI d'utiliser ChatGPT pour des attaques, l'outil peut toujours être manipulé via diverses invites, comme demander au chatbot d'agir comme un testeur de stylet ou d'écrire ou de déboguer des scripts de code apparemment sans rapport.
Génération de code malveillant
Comme mentionné ci-dessus, ChatGPT peut être utilisé pour générer du code capable d'exploiter les vulnérabilités des logiciels ou des systèmes, facilitant ainsi les accès non autorisés ou les violations de données.
E-mails de phishing malveillants
Les attaquants peuvent utiliser ChatGPT pour créer des e-mails de phishing très convaincants, augmentant ainsi les chances de succès des escroqueries et du vol d'informations. Avec cet outil d'IA, ils peuvent créer des e-mails qui simulent des tons et des voix, comme des personnalités connues, se faire passer pour des professionnels d'entreprise, comme des PDG et des services informatiques, éliminer les erreurs de grammaire, qui sont l'un des indices des e-mails de phishing, et écrire dans un large éventail de langages, leur permettant d'élargir leur spectre d'attaque.
Attaques d'ingénierie sociale
Semblable aux e-mails de phishing, ChatGPT peut générer des messages contextuellement pertinents et convaincants. Cela signifie qu’il peut être utilisé comme arme pour mener des attaques d’ingénierie sociale, incitant les employés à compromettre les protocoles de sécurité.
Imitation
Les capacités linguistiques avancées de ChatGPT en font un outil permettant de créer des messages ou du contenu usurpant l'identité d'individus ou d'entités, conduisant à une fraude potentielle et à une ingénierie sociale. et la désinformation.
Contourner les systèmes de modération de contenu
Une génération de langage sophistiquée peut être utilisée pour créer des messages qui échappent à la détection par les systèmes de modération de contenu standard. Cela présente un risque pour la sécurité et la conformité en ligne, dans la mesure où les outils de sécurité traditionnels sont moins efficaces qu’auparavant.
4. Risques opérationnels et politiques
Risques liés à la propriété intellectuelle (PI) et aux droits d'auteur
La génération de contenu par ChatGPT pourrait par inadvertance porter atteinte aux droits de propriété intellectuelle existants. Si ChatGPT crée du contenu qui reflète ou ressemble étroitement à des documents protégés par le droit d'auteur existants, le résultat peut être une violation de la propriété intellectuelle, posant des risques juridiques et financiers aux entreprises.
Vol de propriété intellectuelle
Le revers de la médaille est lorsque ChatGPT fournit des réponses basées sur vos propres informations exclusives ou votre contenu créatif, entraînant une perte financière et un désavantage concurrentiel.
Attaques de jailbreak (Attaques sur ChatGPT)
Un acteur malveillant tente de contourner ou d'exploiter les protections intégrées d'OpenAI, dans le but de lui faire effectuer des tâches en dehors de ses limites prévues ou éthiquement autorisées. Cela peut aller de la génération de contenu qui enfreint les politiques d'utilisation à la manipulation du modèle pour révéler des informations qu'il est conçu pour dissimuler. De telles attaques pourraient compromettre l'intégrité des données des entreprises qui utilisent ChatGPT et ont saisi des informations sensibles, et les exposeraient à des conséquences commerciales et juridiques si elles utilisaient des données incorrectes provenant des réponses ChatGPT.
Bugs de confidentialité de ChatGPT (attaque sur ChatGPT)
Vulnérabilités ou failles au sein du système qui pourraient potentiellement compromettre la confidentialité des utilisateurs. Il peut s'agir de problèmes qui exposent accidentellement des données utilisateur sensibles ou de failles exploitées par des acteurs malveillants pour accéder à des informations non autorisées. Ceux-ci pourraient compromettre l’intégrité de l’entreprise, révélant des plans d’affaires, du code source, des informations sur les clients, des informations sur les employés, etc.
Modifications de la politique de l'entreprise OpenAI
Les changements dans les politiques d'OpenAI concernant l'utilisation de ChatGPT pourraient avoir des implications pour les entreprises qui dépendent de sa technologie. De tels changements peuvent inclure des modifications des directives de confidentialité des utilisateurs, des politiques d'utilisation des données ou des cadres éthiques guidant le développement et l'IA de l'IA. déploiement. Un décalage entre ces nouvelles politiques et les attentes des utilisateurs ou les normes juridiques, ce qui pourrait entraîner des problèmes de confidentialité, une perte de confiance des utilisateurs, des problèmes juridiques et de conformité, ou des problèmes de continuité opérationnelle.
Risques liés aux extensions ChatGPT
L'utilisation d'extensions ChatGPT, qui sont des modules complémentaires ou des intégrations qui étendent les capacités de ChatGPT, constitue également un risque pour la sécurité de ChatGPT. Voici quelques-uns des principaux :
- Vulnérabilités de sécurité – Les extensions peuvent introduire des failles de sécurité, surtout si elles ne sont pas développées ou maintenues selon des normes de sécurité strictes. Cela peut inclure l'introduction de code malveillant dans le navigateur de l'utilisateur, l'exfiltration de données, etc.
- Problèmes de confidentialité – Les extensions qui gèrent ou traitent les données des utilisateurs peuvent présenter des risques pour la vie privée, en particulier si elles ne respectent pas les lois sur la protection des données ou si elles collectent, stockent ou transmettent des données de manière non sécurisée.
- Accès aux données d'identité – Grâce à des extensions malveillantes, les attaquants peuvent accéder aux données d'identité : mots de passe, cookies et jetons MFA. Cela leur permet de pénétrer dans le système et d’y progresser latéralement.
Comment utiliser ChatGPT en toute sécurité
Nous avons atteint notre partie préférée – que faire ? Il existe un moyen d'eDonnez à votre personnel les moyens d'exploiter l'immense potentiel de productivité de ChatGPT tout en éliminant leur capacité à exposer involontairement des données sensibles. Voici comment:
Développer des politiques d’utilisation claires
Déterminez les données qui vous préoccupent le plus : code source, business plans, propriété intellectuelle, etc. Établissez des lignes directrices sur comment et quand les employés peuvent utiliser ChatGPT, en mettant l'accent sur les types d'informations qui ne doivent pas être partagées avec l'outil ou qui ne doivent être partagées que dans des conditions strictes.
Mener des programmes de formation et de sensibilisation
Éduquez les employés sur les risques potentiels et les limites liés à l’utilisation des outils d’IA, notamment :
- Sécurité des données et risque de partage de données sensibles
- L’utilisation abusive potentielle de l’IA dans les cyberattaques
- Comment reconnaître les tentatives de phishing générées par l'IA ou d'autres communications malveillantes
Promouvoir une culture dans laquelle les outils d’IA sont utilisés de manière responsable en complément de l’expertise humaine, et non en remplacement.
Utiliser une extension de navigateur d'entreprise
ChatGPT est accessible et consommé via le navigateur, en tant qu'application Web ou extension de navigateur. Par conséquent, les outils traditionnels de sécurité des points de terminaison ou du réseau ne peuvent pas être utilisés pour sécuriser les organisations et empêcher les employés de coller ou de saisir des données sensibles dans les applications GenAI.
Mais un extension de navigateur d'entreprise peut. En créant une politique ChatGPT dédiée, le navigateur peut empêcher le partage de données sensibles via des avertissements contextuels ou bloquer complètement leur utilisation. Dans les cas extrêmes, le navigateur d'entreprise peut être configuré pour désactiver complètement ChatGPT et ses extensions.
Détecter et bloquer les extensions à risque
Analysez les navigateurs de votre personnel pour découvrir les logiciels installés extensions ChatGPT malveillantes qu'il faudrait supprimer. De plus, analysez en permanence le comportement des extensions de navigateur existantes pour les empêcher d’accéder aux données sensibles du navigateur. Désactivez la capacité des extensions à extraire les informations d'identification ou d'autres données sensibles des navigateurs de votre personnel.
Renforcez vos contrôles de sécurité
Étant donné la capacité des attaquants à utiliser ChatGPT à leur avantage, faites de la cybersécurité une priorité plus élevée. Ceci comprend:
- Renforcer les contrôles contre le phishing, les logiciels malveillants, les injections et les ransomwares
- Restreindre l'accès à vos systèmes pour empêcher toute utilisation non autorisée qui pourrait résulter de la capacité des attaquants, comme MFA
- Garder votre logiciel corrigé et à jour
- Mise en œuvre de mesures de sécurité des points finaux
- Assurer l’hygiène des mots de passe
- Surveillance continue pour détecter les comportements suspects et assurez-vous de développer et de mettre en pratique vos plans de réponse aux incidents.
Présentation de ChatGPT DLP par LayerX
LayerX est une solution de navigateur d'entreprise qui protège les organisations contre les menaces et les risques véhiculés par le Web. LayerX dispose d'une solution unique pour protéger les organisations contre l'exposition de données sensibles via ChatGPT et d'autres outils d'IA générative, sans perturber l'expérience du navigateur.
Les utilisateurs peuvent cartographier et définir les données à protéger, comme le code source ou la propriété intellectuelle. Lorsque les employés utilisent ChatGPT, des contrôles tels que des avertissements contextuels ou un blocage sont appliqués pour garantir qu'aucune donnée sécurisée n'est exposée. LayerX garantit une productivité sécurisée et une utilisation complète du potentiel de ChatGPT sans compromettre la sécurité des données.
Pour plus de détails, cliquer ici.
