Inseguridad generada por IA

Cada semana aumentan los ataques cibernéticos a entidades del Estado y empresas privadas. La última víctima fue el Secop II, administrado por Colombia Compra Eficiente. Todos los contratistas del sector público a nivel nacional dependen de esta plataforma para el normal desarrollo de sus contratos. Ahora los piratas informáticos desarrollan sus ataques con el apoyo de inteligencia artificial. En algunas organizaciones el ingreso resulta sencillo, especialmente cuando los delincuentes obtienen ayuda humana al interior. Las herramientas robustas que proporciona la inteligencia artificial dinámica o generativa se vuelven todo un dilema para quienes deben trabajar en brindar soporte y seguridad desde la tecnología.

A decenas de compañías en el mundo les ha tocado contratar hackers profesionales que ayudan a identificar puntos débiles de las redes y así evitar una fuga de información o control del sistema. El escenario es muy delicado por las crueles posibilidades que permite la novedosa tecnología.

Supongamos que un delincuente usa ChatGPT para generar un mensaje de suplantación personalizado. Se alimenta de la información que ha publicado la empresa en internet, el estilo, tipo de letra, graficación y logos, que muchas veces están disponibles en los correos corporativos reales. Inclusive a veces lo necesario se encuentra en publicaciones de redes sociales y hasta en blogs de los empleados.

El código identifica ataques exitosos en el pasado y copia lo que sirve de las fórmulas probadas. Con este mecanismo es posible engañar a usuarios con un simple correo electrónico, ya que no se parece en absoluto a los mensajes que han sido entrenados para detectar por el sistema. Es muy usual que los delincuentes adjunten varios correos entre ejecutivos de una misma empresa para hacer parecer la cadena de comunicaciones como algo usual y real.

Por teléfono las cosas se ponen mucho más miedosas. Usando publicaciones de medios de comunicación, podcasts o a veces videos en redes sociales, un algoritmo puede “samplear” la voz del vocero de una compañía. Luego, el delincuente “entrena” una aplicación de inteligencia artificial con esa fuente, que luego le permite leer un libreto que en audio queda con la voz del funcionario. Imposible de detectar por el otro lado de la línea si la voz es real. Podría dar instrucciones al área de tesorería o pedir cambio de alguna contraseña.

Otro uso indebido de la inteligencia artificial es llenar de basura, o “intoxicar” los datos de un sistema. Se puede hacer con múltiples bots con un ingreso simultáneo que infarta la red. Al amplificar los datos o solicitudes de una manera desbordada se obtiene un caos que puede ser utilizado para tumbar un servidor, reiniciar un sistema y otra serie de acciones que dificultan o encarecen la operación de una organización. Las empresas de salud, las aerolíneas o los bancos no se pueden dar el lujo de que les ocurran estas anomalías.

El tema de ciberseguridad en el Estado se volvió crítico y, al parecer, al único que le ha interesado el fenómeno es al alto consejero Saúl Kattan. En la votación del Plan Nacional de Desarrollo no se aprobó la creación de una Agencia de Seguridad Digital. Es decir que seguimos expuestos y dando ventajas a los delincuentes.