Los tres riesgos de seguridad en entornos regidos por IAs

Yolanda Duró, de Red Seguridad, me invitó hace ya unas semanas a participar en su estudio anual del Ecosistema de Ciberseguridad Español con unas declaraciones sobre qué tendencias veía en el sector de cara a los próximos años.

La pregunta concreta era la siguiente:

Como experto en ciberseguridad, ¿cuáles cree que serán los grandes retos de la ciberseguridad en los próximos años, ya sea en relación con la normativa, las amenazas, la organización de ciberseguridad, la formación, la concienciación…?

Y como era lo suficientemente ambigua, decidí centrar el tiro en un tema que me preocupa especialmente: el impacto de las IAs del lado del cibercrimen.

Te dejo por aquí las respuestas que di a la revista:

Seguridad de la información en entornos asistidos por IAs

El auge de los chatbots conversacionales y las IAs generativas re-dibuja un escenario de seguridad mucho más complejo, y en tres niveles:

Riesgo de control de los datasets

Un primer nivel viene dado por la necesidad de estructurar grandes volúmenes de datos.

Es decir, crear bases de datos que el día de mañana podrían ser utilizadas para hacer el mal. 

Un ejemplo destacado fue el incidente en Holanda, donde el censo electoral incluía preferencias religiosas…, pocos años antes de que los nazis ocuparan el país.

Y la historia se repetía hace poco con los dispositivos de reconocimiento biométrico «olvidados» en Irak«, ahora en manos de los talibanes.

Quedará por ver qué pasará en el futuro con todos esos datasets creados como herramienta de entrenamiento para las IAs.

¿Quién los comprará?

¿Con qué objetivo?

Y si se encontrará en el futuro brechas que permita acceder a ellos ilegalmente.

Riesgo de exposición de datos sensibles

En un segundo nivel, tenemos el ya clásico problema del perímetro de seguridad de la información corporativa.

Con cada vez más trabajadores usando estas IAs de ámbito generalista en entornos profesionales, y con unas IAs que aprenden precisamente de los prompts que les estamos dando, corremos el riesgo de que las fugas de información sean cada vez más habituales. Información que debería ser confidencial, y que sin embargo, acaba expuesta debido a que algún trabajador, para realizar sus acciones laborales, precisó del uso de una de estas inteligencias artificiales, exponiendo en ese chat información confidencial que, más tarde, la IA usaría de aprendizaje para acabar exponiéndola públicamente a cualquiera que le preguntase por ello.

Riesgo del uso de los chatbots conversacionales como herramienta de democratización del phishing

Y en un tercer nivel, nos encontramos con el propio riesgo que supone poner al alcance de los cibercriminales unas herramientas, los chatbots conversacionales, que son muy buenos en una única cosa: aparentar que estamos hablando con un humano.

Gracias a ello, y como ya estamos viendo, se están mejorando enormemente la calidad del contenido usado para campañas de fraude y phishing, y ataques de ingeniería social.

Así, pasamos de un escenario en el que se diseñaban las campañas en inglés, y luego se traducían de mala manera al resto de idiomas, a otro profesionalizado en el que la industria del cibercrimen contrataba traductores locales para localizar sus ciberataques, a otro como el actual, donde puedes pedirle directamente a una IA que te lo traduzca… y lo localice con un éxito más que decente.

Conclusiones

Tienes por aquí el acceso a la revista completa (ES).