Dans le contexte: Depuis son lancement l’année dernière, ChatGPT a créé des vagues parmi les passionnés de technologie grâce à sa capacité à écrire des articles, des poèmes, des scénarios de films, etc. L’outil d’IA peut même générer du code fonctionnel tant qu’il reçoit une invite claire et bien écrite. Alors que la plupart des développeurs utiliseront la fonctionnalité à des fins totalement inoffensives, un nouveau rapport suggère qu’elle peut également être utilisée par des acteurs malveillants pour créer des logiciels malveillants malgré les protections mises en place par OpenAI.

Un chercheur en cybersécurité affirme avoir utilisé ChatGPT pour développer un exploit zero-day capable de voler des données à partir d’un appareil compromis. De manière alarmante, le malware a même échappé à la détection de tous les fournisseurs sur VirusTotal.

Aaron Mulgrew de Forcepoint a dit il a décidé très tôt dans le processus de création de logiciels malveillants de ne pas écrire de code lui-même et de n’utiliser que des techniques avancées qui sont généralement employées par des acteurs sophistiqués de la menace comme les États-nations voyous.

Se décrivant comme un « novice » dans le développement de logiciels malveillants, Mulgrew a déclaré qu’il utilisait le langage d’implémentation Go non seulement pour sa facilité de développement, mais aussi parce qu’il pouvait déboguer manuellement le code si nécessaire. Il a également utilisé la stéganographie, qui cache des données secrètes dans un fichier ou un message régulier afin d’éviter la détection.

Mulgrew a commencé par demander directement à ChatGPT de développer le logiciel malveillant, mais cela a fait entrer en action les garde-corps du chatbot et il a carrément refusé d’accomplir la tâche pour des raisons éthiques. Il a ensuite décidé de faire preuve de créativité et a demandé à l’outil d’intelligence artificielle de générer de petits extraits de code d’assistance avant d’assembler manuellement l’intégralité de l’exécutable.

Cette fois-ci, il a réussi dans son entreprise, avec ChatGPT créant le code litigieux qui a contourné la détection par toutes les applications anti-malware sur VirusTotal. Cependant, obscurcir le code pour éviter la détection s’est avéré délicat, car ChatGPT reconnaît ces demandes comme contraires à l’éthique et refuse de s’y conformer.

Pourtant, Mulgrew a pu le faire après seulement quelques tentatives. La première fois que le logiciel malveillant a été téléchargé sur VirusTotal, cinq fournisseurs l’ont signalé comme malveillant. Après quelques ajustements, le code a été masqué avec succès et aucun des fournisseurs ne l’a identifié comme un logiciel malveillant.

Mulgrew a déclaré que l’ensemble du processus n’avait pris « que quelques heures ». Sans le chatbot, il pense qu’il aurait fallu à une équipe de 5 à 10 semaines de développeurs pour créer le logiciel malveillant et s’assurer qu’il puisse échapper à la détection par les applications de sécurité.

Bien que Mulgrew ait créé le logiciel malveillant à des fins de recherche, il a déclaré qu’une attaque théorique du jour zéro utilisant un tel outil pourrait cibler des individus de grande valeur pour exfiltrer des documents critiques sur le lecteur C.