Depuis son lancement cet hiver, ChatGPT, la formidable intelligence artificielle conversationnelle d’OpenAI, a suscité énormément d’enthousiasme. Parfois même trop, comme en témoigne l’inquiétude de ces chercheurs de Check Point qui s’alarmaient des expérimentations de cybercriminels menées avec le chatbot. Leur crainte ? Que ChatGPT devienne l’outil qui permettrait d’ouvrir la programmation de logiciels malveillants à un public plus large et moins qualifié.
Heureusement, le célèbre chercheur en sécurité Marcus Hutchins a récemment démenti ses craintes dans un post de blog. Ce jeune anglais sait de quoi il parle : il a débuté dans la programmation de logiciels malveillants avant de revenir dans le droit chemin. Il est ensuite devenu un héros mondial après avoir stoppé le terrible malware autorépliquant WannaCry.
Confus quand il y a davantage de paramètres
Ainsi, pour le chercheur en sécurité, ChatGPT est loin d’être capable de créer un logiciel malveillant entièrement fonctionnel.
« Si vous demandez à ChatGPT de générer un extrait de code Python pour charger une page web, il peut le faire », remarque Marcus Hutchins. « Si vous lui demandez de générer un chiffreur de fichiers, il peut probablement le faire aussi. Mais plus vous ajoutez de paramètres, plus cela devient confus. »
Le chercheur en sécurité note également que la limitation du nombre de caractères dans la boîte de dialogue empêche de saisir suffisamment de données pour générer quelque chose qui irait au-delà d’extraits que l’on peut déjà trouver sur le moteur de recherche Google. Et certes, le chatbot pourrait peut-être faire gagner du temps à un codeur expérimenté. Mais un néophyte aurait dû mal à identifier les erreurs de code écrites par le chatbot. Ce qui veut dire qu’il ne sera vraisemblablement pas l’outil adéquat pour démocratiser la programmation de programmes malveillants.
Pas seulement du code
Pour Marcus Hutchins, cette mauvaise analyse des capacités réelles de ChatGPT est nourrie par un malentendu plus général à propos de la programmation informatique. Il ne s’agit pas seulement d’écrire du code, mais d’abord de comprendre comment arriver à un but que l’on s’est fixé. Bref, ce ne sont pas seulement des lignes qui se succèdent, mais aussi une architecture à imaginer.
Au-delà de la programmation informatique, le chercheur en sécurité n’a vraiment pas été convaincu par les perspectives que pourrait offrir l’intelligence artificielle conversationnelle aux cybercriminels. Ainsi, à propos de la génération d’e-mails d’hameçonnage, le jeune anglais ironise en rappelant que Google a déjà lancé il y a sept ans un service d’intelligence artificielle sophistiqué avec son célèbre traducteur en ligne.
« Ecrire des e-mails de hameçonnage n’a jamais été difficile et ne nécessite pas d’intelligence artificielle », rappelle-t-il. Après tout, ces derniers ne peuvent-ils pas être construits très simplement en copiant le code HTML d’un message authentique ? Pas besoin d’un chatbot pour faire un copier-coller.