LLMs unlock new paths to monetizing exploits

要約

私たちは、大規模な言語モデル（LLM）がまもなくサイバー攻撃の経済を変えると主張します。
LLMは、最も一般的に使用されるソフトウェアを攻撃し、被害者の間で最も低い一般的な分母をターゲットにすることでエクスプロイトを収益化する代わりに、敵がユーザーごとにテーラード攻撃を開始できるようにします。
搾取の面では、数百万人のユーザーがいる製品で困難なバグを手動で検索する人間の攻撃者の代わりに、LLMは何千人ものユーザーを持つ製品に数千の識別しやすいバグを見つけることができます。
また、常に同じ攻撃を実行する一般的なランサムウェアの代わりに（すべてのデータを暗号化して支払いを要求するために支払いを要求します）、LLM駆動のランサムウェア攻撃は、それぞれの悪用されたデバイスの特定のコンテンツに基づいて身代金の需要を調整することができます。
これらの2つの攻撃（および他のいくつか）が最先端のLLMを使用して差し迫った実用的であることを示しています。
たとえば、人間の介入がなければ、LLMはEnronの電子メールデータセット（たとえば、他の従業員と関係があるエグゼクティブ）に非常に敏感な個人情報を見つけることを示しています。
私たちの攻撃のいくつかはまだ高すぎて、今日広く拡大するには高すぎますが、これらの攻撃を実装するインセンティブは、LLMが安くなるにつれて増加するだけです。
したがって、LLMSは新しい詳細なアプローチの必要性を生み出すと主張します。

要約(オリジナル)

We argue that Large language models (LLMs) will soon alter the economics of cyberattacks. Instead of attacking the most commonly used software and monetizing exploits by targeting the lowest common denominator among victims, LLMs enable adversaries to launch tailored attacks on a user-by-user basis. On the exploitation front, instead of human attackers manually searching for one difficult-to-identify bug in a product with millions of users, LLMs can find thousands of easy-to-identify bugs in products with thousands of users. And on the monetization front, instead of generic ransomware that always performs the same attack (encrypt all your data and request payment to decrypt), an LLM-driven ransomware attack could tailor the ransom demand based on the particular content of each exploited device. We show that these two attacks (and several others) are imminently practical using state-of-the-art LLMs. For example, we show that without any human intervention, an LLM finds highly sensitive personal information in the Enron email dataset (e.g., an executive having an affair with another employee) that could be used for blackmail. While some of our attacks are still too expensive to scale widely today, the incentives to implement these attacks will only increase as LLMs get cheaper. Thus, we argue that LLMs create a need for new defense-in-depth approaches.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google