詹士 发自 凹非寺量子位 | 公众号 QbitAI

ChatGPT，越来越刑了!

已有不法分子将其“打扮成”年轻女孩，放社交软件上，引诱男性上钩，进而实施诈骗。

△面向中国市场，可能是个朋友圈里的卖茶女孩

事实上，据Forbes最新消息，ChatGPT不法用途还不止于此。

它不仅能编写程序，监视键盘输入信息，也能自己生成勒索软件，甚至，还有人用其编写暗网上毒品交易市场各种功能的代码。而对很多不擅长英语的异国黑客，ChatGPT也是协助生成英文钓鱼网站绝佳从犯。

安全研究机构（如Check Point）已关注到了ChatGPT被用于不法行径的问题，引发很多网友热议。

有人感慨：这还只是开始。

也有人提议，要自己构建个ChatGPT聊天机器人，与诈骗聊天机器人唠唠，会发生什么？

所以，ChatGPT是如何被“带坏”的？

ChatGPT恶意打开方式有几种？

ChatGPT在2022年11月刚发布时，就有不少人预测，它可能被用于非法网络犯罪。

甚至有人亲自下场，试验了一下用ChatGPT如何触碰网络犯罪红线。

从构建鱼叉式网络钓鱼邮件，到运行能接受英语命令的反向shell，ChatGPT都能Hold住。

△ChatGPT生成的钓鱼邮件

值得明确的是，上述都停留在“假设”与“警告”中。

直到这两天，IT安全公司Check Point表示，他们找到了确切证据。通过对几个主流地下黑客社区论坛的分析，调研者发现：

已有第一批网络犯罪分子使用OpenAI开发恶意工具，他们中，甚至有人没有代码开发能力。

为证明所言不虚，调研者分享了一些案例。

比如2022年12月29日的一篇帖子，它来自地下黑客论坛，名为《ChatGPT-作为恶意软件的好处》。

帖子作者表示，他已经在尝试用ChatGPT创建恶意软件，随文还分享出一段基于 Python 的窃取器的代码。

该程序会搜索12种常见文件类型，比如Office文档、PDF及图片，当发现特定文件后，程序会将它们复制到Temp文件夹内，压缩并上传到FTP服务器。

网络安全分析者还指出，该程序发送文件过程中并未加密，因此，第三方也可能获得上述传输的文件。

该帖子作者还分享了一段Java代码，它将下载PuTTY。这是一个常见的SSH和telnet客户端，恶意代码将使用Powershell在系统中秘密运行它。通过修改脚本，能下载任何恶意软件。

值得注意的是，这位发帖者是地下黑客论坛活跃分子，曾参与多个非法脚本开发，比如一个试图通过网络钓鱼获得用户敏感信息的C++程序。他还分享过Android RAT和SpyNote的破解版。

网络安全机构调研者认为，此人是个技术能手，这篇帖子是个教程，旨在向低开发能力的不法分子展示利用ChatGPT的方法及实例。

如果上述帖子是技术派带坏ChatGPT的代表，下面一篇帖子，就是门外汉利用AI作恶的旁证。

这位名为USDoD的黑客发布了一个原创脚本，特意强调这是他创建的第一个脚本。下方有人指出该代码很像AI生成代码时，他也承认，OpenAI提供了一个“好帮手”。

其功能是对单个文件加密，并将消息认证码 （MAC）附在文件末尾，也能将硬编码路径加密，并解密参数文件列表。

尽管上述代码可用于合法场景，但是，一旦部分脚本与语法问题加以调整，它就能变成一个勒索软件。

该发帖者是一位技术不强的活跃分子，曾出售被盗数据库访问权，最近还共享过InfraGard数据库。

相比生成脚本与代码，更多不法分子专注于用ChatGPT从事更容易上手的非法交易。

一篇2022年12月31日的帖子讨论了——用ChatGPT在暗网创建非法商品市场有多容易。

内容中，涉及交易的物品包括被盗账户、银行卡、恶意软件，甚至毒品和枪械，付款方式以加密货币进行。

其他地下论坛中，也有相当一部分帖子讨论如何利用ChatGPT进行诈骗的手法。

有网络安全调研机构向媒体表示，已有诈骗者企图利用ChatGPT创建聊天bot，模仿女孩聊天，用以低成本和受害男性聊天，博取他们信任，从而实施诈骗。

Check Point调研者补充道，尽管ChatGPT所生成的恶意软件及代码很基础，不可能像此前攻破爱尔兰卫生系统的Conti一样精致，但其潜在危害在于降低了新手违法的门槛。

他继续补充，该门槛不仅针对技术，对于不擅长英语的各国黑客，ChatGPT也是生成合法钓鱼邮件的“绝佳工具”。在钓鱼邮件犯罪中，AI也可能被用于个性化生成内容。

值得一提的是，在地下黑客论坛，关于在灰色地带靠ChatGPT获利的讨论内容也不少。有内容讨论如何用AI快速创造网文、电子书并销售获利，另一部分内容讨论了用OpenAI另一个模型DALLE-2生成图片并出售的操作。

关于上述威胁，也有人去问了问ChatGPT的看法。

AI认为，这类现象并不罕见，并列出常见手法。

更值得注意的是，ChatGPT在结尾很“机智”、“公关”地替母公司给出一套辩护说辞：

值得注意的是，OpenAI本身并不对第三方滥用技术的行为负责，公司已采取了相关措施防止技术被用于恶意目的，比如出台条款要求用户同意——禁止将其技术用于非法或有害活动。

最后问问，对滥用ChatGPT现象，你有解决方案么？

参考链接：[1]https://www.forbes.com/sites/thomasbrewster/2023/01/06/chatgpt-cybercriminal-malware-female-chatbots/?sh=1f13474c5534[2]https://research.checkpoint.com/2023/opwnai-cybercriminals-starting-to-use-chatgpt/