Sabemos que el tópico de la inteligencia artificial puede sonar muy trillado hoy en día, pero ahora más que nunca es necesario informarnos de lo que puede hacer una de las tecnologías más disruptivas y transformadoras jamás creadas. En este orden de ideas, si bien creemos que la IA tiene un gran potencial para el bien y de servir a la humanidad, también estamos conscientes de que tiene un lado oscuro. Y sépase que no estamos hablando de una posible rebelión de las máquinas o de la sustitución de puestos de trabajo por robots, sino de los usos cuestionables que le pueden dar las personas, pues si de algo no dudamos, es de la malicia humana.
En este sentido, hoy estaremos tomando un vistazo detallado a las principales maneras en que las herramientas modernas de IA se están usando para fines nefarios, desde estafas masivas hasta suplantación de identidad, eso por no mencionar la fabricación de falsa evidencia para incriminar o difamar a individuos.
Hoy más que nunca es importante estar informados de todas estas posibilidades, pues a medida que las herramientas IA proliferan, estas malas prácticas solo se harán más y más frecuentes. Cuando tenemos en consideración el alza de los ciberataques en los últimos años, está claro que no es cosa de juego y que debemos aprender a reconocer estas amenazas impulsadas por inteligencia artificial lo antes posible si no queremos caer redondos por alguna trampa.
El uso de IA para crear sitios web falsos
Las estafas online son casi tan antiguas como el propio Internet, así que nunca han faltado a la cita, pero con el advenimiento de los modelos de lenguaje como ChatGPT y Google Bard, se ha bajado todavía más la barrera para crear sitios web diseñados para timar a la gente.
Como sabrán, los modelos de lenguajes son muy eficientes para generar contenido escrito rápidamente, el cual se puede usar para llenar cada una de las páginas de un sitio y hacerlo lucir más convincente, pero esto es tan solo el comienzo. Mediante ingeniería de prompts (comandos) es posible optimizar las keywords y el contenido para que sea más relevante para los motores de búsqueda, así como también es posible personalizar templates de e-commerce para darles un look legítimo en poco tiempo.
El asunto no termina aquí, pues con herramientas como Auto-GPT, se pueden crear estafas a mayor escala. Para quienes no lo conozcan, Auto-GPT es un agente de IA al que se le puede dar un objetivo, que luego intentará llevar a cabo. Éste divide el objetivo en subtareas y utiliza Internet y otras herramientas en un bucle automático. El mismo funciona con las APIs de GPT-4 (o GPT-3.5), es de código abierto y como mencionamos, puede delegar tareas a otras IAs, como por ejemplo Stable Difussion para las imágenes y GPT-4 para el contenido y publicaciones.
En pocas palabras, con Auto-GPT se puede automatizar la creación de sitios y tiendas online diseñadas para estafar a los internautas, todo esto en tiempo récord y con esfuerzo mínimo de parte de los ciberdelincuentes. Con eso en mente, webs fraudulentas siempre han sobrado, así que para algunos no viene como una sorpresa el uso de IA para construirlas, pues descuiden, que apenas estamos arañando la superficie del iceberg.
Deepfakes y clonación de voz
Como sabrán, incluso antes de que las herramientas de IA generativa estuviesen de moda, los Deepfakes ya eran un tema controvertido. Esta técnica por computadora permite editar vídeos para superponer rostros, voces y otros elementos de una persona en imágenes o videos de otra, lo que naturalmente se presta para difamación, desinformación e incluso para suplantación de identidad.
Cuando tenemos en cuenta lo accesible y precisas que se han hecho las aplicaciones y servicios de clonación de voz en el último año, queda claro que ya nada es sagrado ni está fuera de los límites de lo que se puede duplicar con IA. Si bien los Deepfakes son más complicados de producir en una manera convincente, en el caso de la clonación de voz todo lo que se necesita es una grabación de muestra de alrededor de un minuto para así crear una réplica creíble de la voz de alguien. Servicios como así son tan baratos como 1 euro al mes y usarlos es tan fácil como pueden imaginar.
Con eso dicho, ya se ha documentado casos de estafadores haciéndose pasar por personas de autoridad o por familiares para engañar a sus víctimas. En 2020, un grupo de cibercriminales atacó una empresa de energía del Reino Unido utilizando tecnología de voz generada por IA. Imitaron con éxito la voz del director ejecutivo y persuadieron a un empleado para que transfiriese aproximadamente 243.000 dólares a una cuenta fraudulenta. Si esto le puede ocurrir a una empresa grande no duden de que también le puede ocurrir al prójimo.
Generación de imágenes por IA
A primera vista esta aplicación de la tecnología puede parecer inofensiva, solo una herramienta más para crear arte por computadora, pero la verdad del asunto es que los modelos como e DALL-E y Stable Diffusion han avanzado tanto en tan poco tiempo que ya pueden producir imágenes bastante creíbles. De hecho, hoy en día es bastante común encontrar notas de la comunidad en posts virales de Twitter que incluyen contenido gráfico generado por IA.
Nuevamente, este desuso de la tecnología puede emplearse para esparcir desinformación y tratar de dañar la reputación de figuras públicas. De hecho, a finales de enero de 2024 se dio un caso de esta índole cuando imágenes explícitas generadas por IA de la cantante Taylor Swift empezaron a circular por Twitter/X.
Algunas de estas publicaciones reunían más de 45 millones de visualización y 24 mil republicaciones antes de que la cuenta que las publicó fuese suspendida. Como podrán intuir, estas imágenes no desaparecieron así de fácil; fueron resubidas a lo largo y ancho de la plataforma por diversas cuentas y el incidente se hizo tendencia en algunas regiones. Lo último que supimos del caso es que la cantante estaba contemplando tomar acciones legales, lo que no será fácil, pues determinar quién es el culpable es más complicado de lo que parece.
También cabe mencionar que actualmente no existe ninguna ley federal en EE. UU. contra el contenido Deepfake. Puede que las redes sociales y generadores de imágenes tengan normativas contra este tipo de contenido, pero como tal no hay un marco legal vigente para estos casos. Sin embargo, a raíz de este incidente, un grupo de senadores estadounidenses presentó hace poco un proyecto de ley para criminalizar la distribución de imágenes sexuales no consensuadas generadas por IA, así que ya hay un pequeño progreso.
FraudGPT y el auge de las herramientas IA maliciosas
Otra cara de la moneda a tener en cuenta es no solo el uso, sino también la creación de herramientas de IA diseñadas específicamente con fines maliciosos en mente, y que mejor ejemplo de esto que FraudGPT, una especie de gemelo malvado del modelo de lenguaje desarrollado por OpenAI, y cuya existencia se conoce desde julio de 2023.
En este sentido, mientras que el ChatGPT que todos conocemos está diseñado para generar contenido, traducir y conversar fluidamente con el usuario, FraudGPT utiliza su tecnología para propiciar diferentes tipos de ciberataques, ingeniería social y estafas electrónica.
A diferencia del original, esta versión maliciosa no tiene las mismas salvaguardas y restricciones a la hora de usarlo. Éste puede desde crear código malicioso y concebir malware indetectable hasta redactar correos electrónicos de phishing convincentes. Lo preocupante del asunto es que FraudGPT empodera incluso a atacantes sin experiencia, trayendo a las masas un kit de inteligencia artificial armada, todo por la módica suma de $200 dólares al mes o bien de $1.700 dólares al año.
FraudGPT generando un script malicioso en Python.
Naturalmente, esta versión de ChatGPT no la encontraremos en los canales convencionales, es necesario aventurarse en la DeepWeb o bien tener los contactos necesarios para acceder a canales de Telegram dónde se le distribuye.
Curiosamente, FraudGPT no es el único ni tampoco el primero de su clase. Un informe publicado en IJSR CSEIT identificó una herramienta similar que existe desde 2021. Estamos hablando de WormGPT, el cual está basado en el modelo de lenguaje GPTJ y también está entrenado para fines maliciosos.
Con eso dicho, estamos seguros de que mientras escribimos este artículo ya se están desarrollando otras herramientas basadas en inteligencia artificial y con fines nada éticos, así que de cara al futuro estaremos conociendo más y más ejemplos.
Usos no éticos por parte de compañías y gobiernos
Los cibercriminales no son los únicos a los que temer, otra preocupación sobre la IA es su uso para la violación de la privacidad y los derechos humanos por parte de entidades gubernamentales y corporaciones, las cuales no siempre son tan inocentes. Como sabrán, la IA se puede utilizar para recopilar y procesar grandes cantidades de datos personales, a menudo sin el consentimiento o el conocimiento de las personas. Lo anterior mencionado puede dar lugar a violaciones de la privacidad y al uso indebido de información confidencial. Por ejemplo, los gobiernos y los organismos encargados de hacer cumplir la ley pueden utilizar tecnología de reconocimiento facial para identificar y rastrear a personas sin su consentimiento.
Una amenaza a tomar muy en serio
En un panorama caracterizado por la rápida evolución de los modelos de IA y la falta de datos de entrenamiento, defenderse contra las amenazas generativas de la IA es algo que requerirá de constante adaptación y los esfuerzos colectivos de individuos, organizaciones y gobiernos.
En este orden de ideas, algo que hace peculiarmente peligrosas a las amenazas de IA es su nivel de adaptabilidad. Los ejemplos mencionados hasta ahora no son meros programas que se limitan a seguir instrucciones y repetirlas hasta el hartazgo, son sistemas que pueden refinar sus estrategias y aprender de sus propias experiencias. En el caso de FraudGPT, el modelo puede desarrollar estrategias de phishing cada vez más sofisticadas, las cuales incluyen manipulación psicológica y explotación de los sesgos cognitivos y emociones humanas.
De igual manera, no podemos olvidar mencionar la capacidad para emular realistamente la imagen y voz de individuos, lo que es muy alarmante en términos de autenticidad y gobernanza en los medios digitales. El desuso de esta tecnología también es preocupante por su capacidad de manipular la opinión pública y de esparcir desinformación, lo que puede dañar tanto a individuos como colectivos.
Conclusiones
De todo esto podemos derivar varias conclusiones, pero antes que nada queremos decir que no tenemos nada en contra de la IA ni creemos que sea una tecnología perjudicial, es solo una herramienta más y todo depende del uso que se le dé.
Con todo eso dicho, queda claro que los criminales y hackers están empoderados con el uso de herramientas IA para sus actividades maliciosas y que la creciente ola de ataques impulsados por esta tecnología no hará sino aumentar de cara al futuro. Podemos esperar que las técnicas de ingeniería social y estafas se hagan cada vez más efectivas y convincentes. Encima de todo eso, la rápida evolución de los modelos de IA dificulta las cosas y crea la necesidad de estar en constante adaptación frente a estas amenazas, lo que nos lleva al siguiente punto.
Todo esto constituye una necesidad apremiante de adaptación e innovación en el panorama de la ciberseguridad. Empresas, organizaciones y otras entidades deben empezar a priorizar el desarrollo e implementación de herramientas de detección de amenazas impulsadas por IA si quieren salir bien paradas en el futuro. Esto también llama a la colaboración de varios sectores, tanto de carácter público como privado, pues es esencial compartir información sobre los tipos de amenazas.
De igual manera, en el ámbito legal es necesario la creación de leyes que protejan a los individuos de los usos maliciosos de esta tecnología, pues aún no existe un marco legal que ampare casos así. Con eso en mente, la ley AI Act de la Unión Europea entrará en vigor posiblemente en 2026, pero no cubre todos los escenarios posibles.
De nuestra parte, las personas comunes y corrientes, lo mejor que podemos hacer por ahora es estar armados con el conocimiento y mantenernos informados de las crecientes amenazas.
