των πληροφοριών που κυκλοφορούν σχετικά με τη γενεσιουργό Τεχνητή Νοημοσύνη (Generative AI), η Fortra προχώρησε στην πραγματοποίηση μίας εμπεριστατωμένης ανάλυσης των απειλών για να αποφύγει το θόρυβο και να εντοπίσει τις πειστικότερες απειλές AI που πρέπει να προσέξετε καθώς πλησιάζει το δεύτερο μισό του 2025. Αν και αποτελεί επιτακτική ανάγκη να παραμείνουμε σε εγρήγορση ενώπιον του διαρκώς εξελισσόμενου τοπίου απειλών και όλων των άλλων πιθανών κινδύνων στους οποίους ενδέχεται να εκτεθούμε, παρακάτω παραθέτουμε τις απειλές που ξεχώρισαν ως οι πειστικότερες, όσον αφορά τον κίνδυνο που εγκυμονούν, τόσο για τους αμυνόμενους -οργανισμούς- όσο και για τους απλούς χρήστες.

1.Prompt Injections

Τι είναι μια επίθεση έγχυσης ή εισαγωγής προτροπής;

Οι επιθέσεις έγχυσης προτροπής (Prompt injections) πραγματοποιούνται όταν μια εντολή εισόδου AI επιτρέπει σε κάποιον χρήστη να χειραγωγήσει τη συμπεριφορά ενός γλωσσικού μοντέλου παρακάμπτοντας τις αρχικές οδηγίες του προγραμματιστή ή της εταιρείας ανάπτυξης του μοντέλου για τη συγκεκριμένη προτροπή. Αυτή η απειλή είναι παρόμοια με τις εγχύσεις εισόδου στις παραδοσιακές επιθέσεις ασφαλείας εφαρμογών. Οι εγχύσεις προτροπής ωστόσο αποτελούν σταθερή απειλή στη γενεσιουργό Τεχνητή Νοημοσύνη, επειδή τα μεγάλα γλωσσικά μοντέλα τείνουν να επεξεργάζονται την εντολή εισόδου ως ενιαίο κείμενο με αποτέλεσμα να μην μπορούν ή να μην είναι σε θέση να διαχωρίσουν ή να επικυρώσουν αυτές τις εντολές εισόδου, σε αντίθεση με τις τυπικές εισόδους λογισμικού.

Για ποιους λόγους πρέπει να σας ανησυχήσουν τα Prompt Injections;

Η απειλή των επιθέσεων έγχυσης προτροπής μπορεί να θέσει οργανισμούς και εταιρείες σε διάφορους κινδύνους, ιδίως για όσους έχουν ενσωματώσει τη γενεσιουργό Τεχνητή Νοημοσύνη στα περιβάλλοντα IT τους. Μερικοί κίνδυνοι είναι οι παρακάτω:

1. Διαρροή δεδομένων. Μπορεί να συμβεί, όταν ο επιτιθέμενος εισάγει μία εντολή για να προτρέψει το μοντέλο Τεχνητής Νοημοσύνης να αποκαλύψει ευαίσθητες πληροφορίες ή ακόμη και να διαρρεύσει τα ευαίσθητα δεδομένα κάποιας προηγούμενης συνεδρίας, στα οποία ο τρέχων χρήστης ενδέχεται να μην έχει εξουσιοδότηση πρόσβασης.
2. Εξαπάτηση του LLM για να αποκαλύψει κλειδιά API. Οι φορείς απειλών στη συνέχεια μπορούν να εκμεταλλευτούν την κατάσταση για να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε περιβάλλοντα αποθηκευτικού νέφους και άλλα πολύτιμα ψηφιακά περιουσιακά στοιχεία, να διαμορφώσουν με κακόβουλο τρόπο τους ελέγχους πρόσβασης, όπως για παράδειγμα να απενεργοποιήσουν τον έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA), για να παρακάμψουν τις άμυνες διαχείρισης της ταυτότητας και της πρόσβασης (IAM) ή ακόμα και να προχωρήσουν σε παραβιάσεις δεδομένων για να θέσουν σε κίνδυνο προσωπικά αναγνωρίσιμες πληροφορίες (PII).
3. Δηλητηρίαση του γλωσσικού μοντέλου για τη διάδοση ψευδών πληροφοριών μέσω εντολών που εισάγουν ψεύτικα δεδομένα, ακόμη και εκτέλεση κακόβουλου κώδικα που μπορεί να αυξήσει την επιφάνεια έκθεσης σε μολύνσεις από κακόβουλο λογισμικό.

2.Romance scams και Deepfakes

Τι είναι οι απάτες ρομαντικής σχέσης;

Οι ρομαντικές απάτες συμβαίνουν όταν ένας απατεώνας αναπτύξει μια διαδικτυακή ρομαντική σχέση με το θύμα για να κερδίσει την εμπιστοσύνη του και να το εκμεταλλευτεί, έχοντας στόχο τις περισσότερες φορές το οικονομικό όφελος. Οι απατεώνες συνήθως κρύβονται κάτω από μια ψεύτικη ταυτότητα, δημιουργώντας ψευδή διαδικτυακά προφίλ για να προσελκύσουν πιθανά θύματα, κυρίως σε ιστοσελίδες γνωριμιών και στα μέσα κοινωνικής δικτύωσης, και αφού κερδίσουν την εμπιστοσύνη τους, ξεκινούν να του ζητούν χρήματα.

Για ποιους λόγους να ανησυχείτε για τις ρομαντικές απάτες;

1. GenAI. Οι απατεώνες ρομαντικών σχέσεων έχουν αρχίσει να αξιοποιούν τη γενεσιουργό Τεχνητή Νοημοσύνη στις κακόβουλες τακτικές τους. Για παράδειγμα, ένα τυπικό σημάδι που αποκαλύπτει μία απάτη ρομαντικής φύσης είναι ότι ο απατεώνας βασίζεται στα κλασικά μηνύματα κειμένου για να επικοινωνήσει με το θύμα αποφεύγοντας τις τηλεφωνικές κλήσεις ή τις συναντήσεις πρόσωπο με πρόσωπο καθώς η φωνή του μπορεί να αποκαλύψει την πραγματική του ταυτότητα ή την τοποθεσία του. Επιπλέον, η Τεχνητή Νοημοσύνη σήμερα μπορεί να δημιουργήσει πολλές διαφορετικές φωνές, κάτι που επιτρέπει στους απατεώνες να υποδύονται πολλά διαφορετικά άτομα, χρησιμοποιώντας μάλιστα χροιές ή προφορές από διαφορετικές τοποθεσίες, ηλικίες και φύλα.
2. Deepfakes. Ένα άλλο παράδειγμα για το πως η δημιουργική, παραγωγική ή γενεσιουργός Τεχνητή Νοημοσύνη αποτελεί απειλή στις απάτες ρομαντικών σχέσεων είναι η χρήση βίντεο που έχουν παραποιηθεί με τη βοήθεια Τεχνητής Νοημοσύνης (Deepfakes) για την επικοινωνία (π.χ. μέσω της διεξαγωγής βιντεοκλήσεων) με το θύμα. Καθώς τα deepfakes εξακολουθούν να εξελίσσονται από άποψη αληθοφάνειας και ποιότητας, οι απατεώνες μπορούν να χρησιμοποιήσουν αυτή την τεχνική για να κάνουν τις ψεύτικες διαδικτυακές τους περσόνες να δείχνουν ρεαλιστικότερες ώστε να χειραγωγούν χωρίς ιδιαίτερη προσπάθεια τα θύματα τους και οι βιντεοκλήσεις να έχουν μεγαλύτερη συναισθηματική βαρύτητα από τα συνηθισμένα μηνύματα κειμένου.

3.Βελτιωμένο Spear Phishing

Τι είναι το στοχευμένο ηλεκτρονικό ψάρεμα;

Το spear phishing, είναι μία μορφή ηλεκτρονικού ψαρέματος που είναι προσαρμοσμένο ειδικά για το θύμα-στόχο, ωστόσο τελευταία απόκτησε μία νέα, θανατηφόρο δύναμη στη στόχευση των θυμάτων αξιοποιώντας τη βοήθεια των μεγάλων γλωσσικών μοντέλων.

Από την έκθεση Email Threat Intelligence Report 2025 της Fortra έγινε κατανοητό ότι ένα εντυπωσιακό 99% των απειλών ηλεκτρονικού ταχυδρομείου ήταν επιθέσεις κοινωνικής μηχανικής ή περιείχαν συνδέσμους ηλεκτρονικού ψαρέματος (phishing), οπότε δεν αποτελεί έκπληξη το γεγονός ότι οι επιτιθέμενοι ισχυροποιούν τις επιθέσεις ηλεκτρονικού ταχυδρομείου με Τεχνητή Νοημοσύνη για να ενισχύσουν τις απόπειρες ηλεκτρονικού ψαρέματος τους. Πρόσφατες προειδοποιήσεις και έρευνες σχετικά με τις επιθέσεις Τεχνητής Νοημοσύνης στο ηλεκτρονικό ταχυδρομείο αποκάλυψαν ότι οι επιθέσεις που δημιουργούνται από AI υπερισχύουν πλέον των παραδοσιακών επιθέσεων από ανθρώπους.

Γιατί να ανησυχείτε για το spear phishing;

Οι παράγοντες/ φορείς απειλών μπορούν να αξιοποιήσουν την Τεχνητή Νοημοσύνη για να στοχεύσουν τον λογαριασμό LinkedIn του θύματος για να εντοπίσουν τις πληροφορίες του χώρου εργασίας του και να προχωρήσουν σε επιθέσεις παραβίασης/υποκλοπής του επιχειρησιακού ηλεκτρονικού ταχυδρομείου (BEC) ή ακόμη και να βάλουν στόχο τα μέσα κοινωνικής δικτύωσης και άλλα δημόσια προφίλ του θύματος για να συγκεντρώσουν όσο το δυνατόν περισσότερες πληροφορίες με στόχο να δημιουργήσουν εξαιρετικά προηγμένες και εξατομικευμένες επιθέσεις ηλεκτρονικού ψαρέματος. Και αυτό αποτελεί τεράστια πρόκληση τόσο για οργανισμούς και εταιρείες όσο και για τους χρήστες, καθώς τέτοιες απόπειρες στοχευμένου ηλεκτρονικού ψαρέματος καθιστούν δύσκολη την ανίχνευση τους λόγω της εξατομικευμένης φύσης τους, η οποία προσθέτει ένα στοιχείο ρεαλισμού στο δέλεαρ. Επιπλέον, σε αντίθεση με τους παραδοσιακούς ανθρώπινους φορείς απειλών ή τις κόκκινες ομάδες κυβερνοασφάλειας, οι συγκεκριμένες επιθέσεις που έχουν τη βοήθεια της Τεχνητής Νοημοσύνης είναι δυνατό να πραγματοποιηθούν σε μεγάλη και απεριόριστη κλίμακα, γεγονός που επιδεινώνει περαιτέρω την κατάσταση.

4.Παράκαμψη γλωσσικών εμποδίων

Τι είναι τα γλωσσικά εμπόδια στην κυβερνοασφάλεια;

Τα μεγάλα γλωσσικά μοντέλα (Large Language Models ή LLMs) έχουν ξεκλειδώσει βελτιωμένες μεταφραστικές δυνατότητες, καθώς οι προφορικές κειμενικές μεταφράσεις από την Τεχνητή Νοημοσύνη ακούγονται όλο και πιο φυσικά «αποτυπώνοντας» καλύτερα την αργκό και τα ανθρώπινα συνομιλιακά υπονοήματα. Οι επιτιθέμενοι μπορούν πλέον να αξιοποιήσουν αυτή τη δυνατότητα για να διευρύνουν τον γεωγραφικό ορίζοντα των στόχων τους.

Γιατί να ανησυχείτε για τις εξυπνότερες μεταφράσεις;

Οι απάτες και άλλες επιθέσεις κοινωνικής μηχανικής που αποδείχτηκαν επιτυχημένες σε μία γλώσσα μπορούν πλέον να μεταφραστούν αποτελεσματικά σε άλλες γλώσσες για να προσεγγίσουν θύματα από νέες τοποθεσίες ή άλλες χώρες σε όλο τον κόσμο.

Και αυτό όχι μόνο επιτρέπει στους παράγοντες/φορείς απειλών να επεκτείνουν τη γεωγραφική τους εμβέλεια και να παρακάμψουν τα γλωσσικά εμπόδια, αλλά μπορεί επίσης να αυξήσει και το ποσοστό επιτυχίας των επιθέσεων, επειδή οι νέες στοχευμένες περιοχές είναι συχνά λιγότερο εξοικειωμένες με τέτοιες απάτες και οι χρήστες μπορεί να μην είναι επαρκώς ευαισθητοποιημένοι ή πληροφορημένοι για να αναγνωρίσουν τα σημάδια των συγκεκριμένων επιθέσεων.

Για παράδειγμα, οι οικονομικές απάτες που τείνουν να προσελκύουν πολλά θύματα στη Βόρεια Αμερική, όπως οι εκτροπές μισθοδοσίας, μπορούν να μεταφραστούν σε άλλες γλώσσες με στόχο περιοχές και χώρες σε άλλες ηπείρους που στο παρελθόν δεν είχαν στοχοποιηθεί από τους ίδιους παράγοντες/ φορείς απειλών.

Η μηνιαία έκθεση BEC Global Insights Report της Fortra αποκάλυψε ότι το μέσο ποσό που ζητήθηκε σε επιθέσεις εμβασμάτων ήταν το εντυπωσιακό ποσό των $81.091 τον Απρίλιο του 2025, γεγονός που τις τοποθετεί στην πρώτη γραμμή ως μία από τις πλέον αποτελεσματικές οικονομικές απάτες. Οι οργανισμοί και οι εταιρείες μπορούν να περιμένουν να δουν τέτοιες αποτελεσματικές και ευρέως διαδεδομένες τακτικές απάτης να μεταφράζονται σε διάφορες γλώσσες, ιδίως σε γλώσσες και περιοχές που δεν έχουν στοχοποιηθεί στο παρελθόν, καθώς οι επιτιθέμενοι χρησιμοποιούν διαρκώς νέα τεχνάσματα για να μεγιστοποιήσουν την αποτελεσματικότητα και την εμβέλεια των επιθέσεων τους.

5.Shadow AI

Τι είναι η σκιώδης Τεχνητή Νοημοσύνη;

Η σκιώδης ανάπτυξη, η χρήση δηλαδή μη εγκεκριμένων πρακτικών ανάπτυξης λογισμικού από κάποιον οργανισμό, αποτελεί ιστορικά έναν από τους πιο σημαντικούς κινδύνους τελικού χρήστη όσον αφορά τη μη συμμόρφωση των εργαζομένων με τις πολιτικές IT του οργανισμού. Σήμερα, μπορούμε να προσθέσουμε και τη σκιώδη Τεχνητή Νοημοσύνη στην λίστα των κινδύνων τελικού χρήστη που οι επαγγελματίες στον κλάδο της πληροφορικής και της κυβερνοασφάλειας πρέπει να ανησυχούν. Η σκιώδης Τεχνητή Νοημοσύνη αναφέρεται στη μη εγκεκριμένη ή μη εξουσιοδοτημένη χρήση εργαλείων και πόρων Τεχνητής Νοημοσύνης.

Γιατί να ανησυχείτε για τη σκιώδη τεχνητή νοημοσύνη;

Όταν σχεδόν το 60% των εργαζομένων έχουν εισάγει πληροφορίες υψηλού κινδύνου σε τεχνολογίες γενεσιουργού Τεχνητής Νοημοσύνης, η απειλή του «shadow AI» βρίσκεται σε ανεξέλεγκτη άνοδο. Το παραπάνω, μπορεί να εκθέσει τους οργανισμούς στον κίνδυνο της διαρροής δεδομένων, επειδή τα μεγάλα γλωσσικά μοντέλα (LLM) που μπορούν να εκπαιδευτούν με τη βοήθεια σχολίων, απαντήσεων, προτροπών ή δεδομένων που εισάγουν οι χρήστες, ενδέχεται να τα συμπεριλαμβάνουν σε νεότερες ή μελλοντικές εκδόσεις τους.

Για παράδειγμα, ένας υπάλληλος μπορεί να διαρρεύσει κατά λάθος ευαίσθητες πληροφορίες προσωπικής ταυτοποίησης (PII) ή τον ιδιόκτητο κώδικα λογισμικού ενός οργανισμού, αν για παράδειγμα τον συμπεριέλαβε ακούσια στις προτροπές του σε κάποια εφαρμογή Τεχνητής Νοημοσύνης. Αυτή η παραβίαση απορρήτου μπορεί να εκθέσει τους οργανισμούς σε διάφορους κινδύνους, που θα μπορούσαν να αποδειχτούν ιδιαίτερα επιζήμιοι, όπως είναι τα μεγάλα κανονιστικά ή ρυθμιστικά πρόστιμα, νομικές συνέπειες από παραβιάσεις NDA, βλάβη στη φήμη κ.ά. 

Συμπέρασμα

Η Τεχνητή Νοημοσύνη, όπως και κάθε άλλο καινοτόμο εργαλείο ή τεχνολογία, μπορεί να χρησιμοποιηθεί για να επιτύχει τόσο καλά όσο και άσχημα πράγματα, ανάλογα με το ποιος την χρησιμοποιεί. Οι επιτιθέμενοι θα βρίσκουν πάντα τρόπο να εκμεταλλεύονται αυτά τα εργαλεία. Αν και ενδέχεται να σας φαίνεται δύσκολο να αμυνθείς ενάντια σε ένα τόσο εύκολα κλιμακούμενο εργαλείο όπως η Τεχνητή Νοημοσύνη, η Fortra μπορεί να σας βοηθήσει να αμυνθείτε, πολεμώντας τη φωτιά με φωτιά, χάρη σε διάφορες λύσεις που βασίζονται στη Μηχανική Εκμάθηση και που συμβαδίζουν με το τοπίο των απειλών και επιπλέον ενσωματώνουν Τεχνητή Νοημοσύνη για να ενισχύσουν τις δυνατότητες ανίχνευσης και αντιμετώπισης των απειλών.

Πηγή: Fortra