Инфосек с ChatGPT. Колонка главреда

Сра­зу хочу пре­дуп­редить: никаких проз­рений по поводу будуще­го ИИ у меня нет. Как и все, я див­люсь тому, какой путь машин­ное обу­чение прош­ло за пос­ледние пять лет, и пыта­юсь при­кинуть, что будет еще через пять. Поэто­му прос­то выс­туплю в жан­ре TJournal (свет­лая ему память), где была полез­ней­шая, на мой взгляд, руб­рика: в ней бра­ли какой‑то новый мем и собира­ли из соц­сетей луч­шие экзем­пля­ры твор­чес­тва на его тему. Толь­ко вмес­то мемов у нас будут при­меры исполь­зования ChatGPT в инфо­безе.

Как видишь, писать рефера­ты ChatGPT уме­ет склад­но. Но это далеко не единс­твен­ное при­мене­ние. При помощи ChatGPT генери­руют код на раз­ных язы­ках, и этот код даже иног­да запус­кает­ся и работа­ет как положе­но. И в информа­цион­ной безопас­ности при­мене­ний тоже пре­дос­таточ­но.

Вот поль­зователь @gf_256 про­сит ChatGPT гля­нуть на исходник смарт‑кон­трак­та, а тот кор­рек­тно иден­тифици­рует потен­циаль­ную уяз­вимость.

Еще при­мер того же поль­зовате­ля: ChatGPT показы­вают задач­ку с CTF, в которой нуж­но заб­рать флаг из при­ложе­ния на Flask. Ней­росеть под­робно рас­ска­зыва­ет о том, как это мож­но про­делать при помощи Burp Suite.

А вот при­мер поис­ка уяз­вимос­тей в веб‑сер­вере на Python и Flask за авторс­твом @dyngnosis. На этот раз ChatGPT сос­тавил под­робный спи­сок потен­циаль­ных дыр и сге­нери­ровал готовый скрипт с перебо­ром наг­рузок.

Как нас­чет дел бинар­ных? В при­мере @JusticeRage ChatGPT дают пос­мотреть на све­жий вывод дизас­сем­бле­ра, и ней­росет­ка опре­деля­ет, что это крип­тогра­фичес­кая фун­кция, и опи­сыва­ет алго­ритм ее работы.

А вот @breakersall ис­поль­зует ChatGPT для орга­низа­ции фишин­говой кам­пании. Ней­росеть по зап­росу пишет скрипт для деп­лоя evilginx2 в AWS.

Нас­тра­ивает фай­рвол.

И выда­ет скрипт на Python для регис­тра­ции домена.

За­тем пишет фишин­говое пись­мо и скрипт для его рас­сылки. Под конец еще и генери­рует отчет (кар­тинки кли­кабель­ные).

Еще мне очень пон­равилось, как ChatGPT при­думал несущес­тву­ющий язык прог­рамми­рова­ния Sack, а потом стал писать прог­раммы на нем.

Но окон­чатель­но покори­ла исто­рия с «вир­туаль­ной машиной». ChatGPT поп­росили пред­ста­вить, что он тер­минал на машине с Linux, и отве­чать на пос­тупа­ющие коман­ды bash. Даль­ше поль­зователь ходит по катало­гам, откры­вает фай­лы, запус­кает коман­ды, дела­ет сетевые зап­росы, а ней­росеть пыта­ется сде­лать вид, что это дей­стви­тель­но нас­тоящий компь­ютер, и дать реалис­тичный вывод. Такая вот сисад­мин­ская вер­сия Dungeons & Dragons, где гейм‑мас­тер — ней­росеть.

Со­осно­ватель и исполни­тель­ный дирек­тор OpenAI Сэм Аль­тман пи­шет:

ChatGPT сей­час неверо­ятно огра­ничен, но кое в чем дос­таточ­но хорош, что­бы соз­дать лож­ное впе­чат­ление величия. Будет ошиб­кой сей­час на него полагать­ся в чем‑то важ­ном. Это превью прог­ресса: нам пред­сто­ит еще мно­го работы над гиб­костью и точ­ностью.

Как хороши будут ягод­ки, коль так хороши цве­точ­ки? Да и вооб­ще, в хакер­ском деле точ­ный инс­тру­мент иног­да и не нужен. Быва­ет дос­таточ­но догад­ки, а уж ее про­вер­кой пока что зай­мет­ся человек.

Нас­мотрев­шись при­меров в интерне­те, я тоже пошел пооб­щать­ся с ChatGPT. Пер­вым делом хотелось узнать, нас­коль­ко хорошо он справ­ляет­ся с задача­ми авто­ров «Хакера». Воп­рос за воп­росом я стал вытяги­вать из ней­росет­ки статью про взлом Wi-Fi.

ChatGPT, как видишь, нем­ного пококет­ничал, сто­ронясь пикан­тной темы, но под конец таки раз­говорил­ся и пошел сочинять экс­плей­нер про перех­ват хен­дшей­ков и Aircrack-ng.

Неп­лохо! Но живые авто­ры нам по‑преж­нему нуж­ны (кста­ти, если хочешь стать одним из них, шли темы на pismenny@glc.ru). Я же не удер­жался и стал про­сить ней­росеть сочинить бал­ладу о кро­тову­хе. На этом работа вста­ла.