Archivo de la etiqueta: Ciberseguridad

Las empresas de IA generativa deben publicar informes de transparencia

Arvind Narayanan & Sayash Kapoor. “Generative AI companies Must Publish Transparency Reports”.Knight First Amendment Institute at Columbia University, June 26, 2023

Ver noticia

¿Cuántas personas utilizan chatbots y generadores de texto a imagen para alguno de los muchos usos prohibidos, como generar desinformación o imágenes de abusos a menores? ¿Con qué frecuencia consiguen eludir los filtros de las herramientas? ¿Están haciendo algo las empresas para rastrear o hacer cumplir las infracciones de sus condiciones de servicio?

Al igual que las redes sociales, la gente utiliza la IA generativa para generar y consumir contenidos, y puede verse expuesta a contenidos nocivos en el proceso. Debido a la presión pública y a los requisitos normativos, se ha convertido en una práctica habitual que las empresas de redes sociales publiquen informes de transparencia detallados que cuantifiquen la difusión de contenidos nocivos en la plataforma. Creemos que las empresas de IA deberían hacer lo mismo.

En concreto, para cada categoría de contenido nocivo, los informes de transparencia deben

  • Explicar cómo se define y cómo se detecta el contenido nocivo.
  • Informar de la frecuencia con la que se ha encontrado en el periodo del informe.
  • Si es el resultado de una violación de las condiciones del servicio, describir el mecanismo de aplicación y proporcionar un análisis de su eficacia.
  • Describa las medidas de mitigación aplicadas para evitarlo (por ejemplo, filtros de seguridad) y proporcione un análisis de su eficacia.

En las redes sociales, los investigadores tienen cierta visibilidad de la difusión de contenidos nocivos, ya que gran parte de ellos son públicos. Pero con la IA generativa, estamos completamente a oscuras. Así que estas medidas de transparencia son urgentes.

Los informes de transparencia son más importantes para las aplicaciones de uso general (por ejemplo, ChatGPT) y las destinadas a ser utilizadas en entornos de alto riesgo (como la medicina, las finanzas, la abogacía o la contratación).

En el caso de la IA generativa de código abierto, la transparencia es inviable, ya que los usuarios pueden ejecutarla en sus propios dispositivos. Pero creemos que, incluso con los modelos de código abierto, la mayoría de la gente preferirá las versiones basadas en la nube a las de ejecución local, debido al hardware y los conocimientos necesarios para ejecutarlas. Esos proveedores de servicios, más que los desarrolladores de modelos de código abierto, deberían publicar informes de transparencia.

Los informes de transparencia deben cubrir los tres tipos de daños derivados de los contenidos generados por IA

En primer lugar, las herramientas de IA generativa podrían utilizarse para dañar a otros, por ejemplo creando deepfakes no consentidos o materiales de explotación sexual infantil. Los desarrolladores tienen políticas que prohíben tales usos. Por ejemplo, las políticas de OpenAI prohíben una larga lista de usos, incluido el uso de sus modelos para generar asesoramiento legal, financiero o médico no autorizado para terceros. Pero estas políticas no pueden tener un impacto en el mundo real si no se aplican, y debido a la falta de transparencia de las plataformas sobre su aplicación, no tenemos ni idea de si son eficaces. Por ejemplo, los reporteros de ProPublica descubrieron en repetidas ocasiones que Facebook no eliminaba completamente los anuncios discriminatorios de su plataforma a pesar de afirmar que lo había hecho.

En segundo lugar, los usuarios pueden confiar demasiado en la IA para obtener información objetiva, como asesoramiento jurídico, financiero o médico. A veces simplemente no son conscientes de la tendencia de los chatbots actuales a generar con frecuencia información incorrecta. Por ejemplo, un usuario puede preguntar «¿cuáles son las leyes de divorcio en mi estado?» y no saber que la respuesta no es fiable. Otra posibilidad es que el usuario se vea perjudicado por no haber sido lo suficientemente cuidadoso como para verificar la información generada, a pesar de saber que podría ser inexacta. La investigación sobre el sesgo de automatización muestra que las personas tienden a confiar demasiado en las herramientas automatizadas en muchos escenarios, a veces cometiendo más errores que cuando no utilizan la herramienta.

En tercer lugar, los contenidos generados podrían ser intrínsecamente indeseables. A diferencia de los tipos anteriores, en este caso los daños no se deben a la malicia, descuido o desconocimiento de las limitaciones por parte de los usuarios. Más bien, el contenido intrínsecamente problemático se genera aunque no se haya solicitado. Por ejemplo, la aplicación de creación de avatares de Lensa generaba imágenes sexualizadas y desnudos cuando las mujeres subían sus selfies. La difamación también es intrínsecamente perjudicial y no una cuestión de responsabilidad del usuario. No sirve de consuelo a la víctima de la difamación decir que el problema se resolvería si todos los usuarios que pudieran encontrar una afirmación falsa sobre ellos tuvieran cuidado de verificarla.

Saber qué tipos de daños afectan más significativamente a las personas reales ayudará a los investigadores a comprender qué intervenciones de mitigación de daños necesitan más desarrollo. Ayudará a los educadores a enseñar a la gente a utilizar la IA generativa de forma responsable. Y, lo que es más importante, ayudará a los reguladores y a la sociedad civil a responsabilizar a las empresas del cumplimiento de sus políticas.

El catálogo de la biblioteca de Dallas se ha reestablecido después de dos meses de haber sido secuestrado (ransomware)

«Dallas library online catalog restored almost two months after ransomware attack». Accedido 26 de junio de 2023. https://www.dallasnews.com/news/politics/2023/06/23/dallas-library-online-catalog-restored-almost-two-months-after-ransomware-attack/.

Después de casi dos meses desde el ataque de ransomware, finalmente se ha restablecido el catálogo en línea de las bibliotecas de Dallas. Ahora, los residentes tienen la capacidad de procesar devoluciones de libros, explorar el catálogo en línea y solicitar tarjetas de biblioteca.

La directora de la Biblioteca Pública de Dallas, Jo Guidice, ha anunciado que se necesitan voluntarios para ayudar en la tarea de reorganizar miles de libros y otros artículos que se han acumulado durante el período en el que los trabajadores no pudieron procesarlos. Además, se espera que algunos de estos materiales sean devueltos después de que las autoridades instaran a la población a retenerlos tras el ciberataque ocurrido el 3 de mayo.

La ciudad informó que varios servidores fueron afectados por el ransomware a principios de mayo, lo que llevó a tomar la decisión de desconectar otros servidores como medida preventiva para evitar la propagación del software malicioso. Esta acción provocó la interrupción de varios departamentos y servicios municipales, como la incapacidad de los residentes para pagar sus facturas de agua en línea o presentar quejas no urgentes a través de la aplicación 311 de la ciudad.

ChatGPT, el impacto de los grandes modelos lingüísticos en la aplicación de la ley

Europol. ChatGPT, The impact of large language models on law enforcement. Publications Office of the European Union, 2023,

Texto completo

El lanzamiento y uso generalizado de ChatGPT -un gran modelo lingüístico (LLM) desarrollado por OpenAI- ha suscitado una gran atención pública, debido principalmente a su capacidad para proporcionar rápidamente respuestas listas para usar que pueden aplicarse a una gran cantidad de contextos diferentes. Estos modelos encierran un enorme potencial. El aprendizaje automático, del que antes sólo se esperaba que se ocupara de tareas mundanas, ha demostrado ser capaz de realizar complejos trabajos creativos. Los LLM se perfeccionan y se lanzan nuevas versiones con regularidad, y las mejoras tecnológicas no dejan de sucederse. Aunque esto ofrece grandes oportunidades a las empresas legítimas y a los ciudadanos, también puede suponer un riesgo para ellos y para el respeto de los derechos fundamentales, ya que los delincuentes y los malos actores pueden querer explotar los LLM para sus propios fines nefastos.

En respuesta a la creciente atención pública prestada a ChatGPT, el Laboratorio de Innovación de Europol organizó una serie de talleres con expertos en la materia de toda la organización para explorar cómo los delincuentes pueden abusar de LLM como ChatGPT, así como la forma en que puede ayudar a los investigadores en su trabajo diario. Los expertos que participaron en los talleres representaban todo el espectro de conocimientos especializados de Europol, incluidos el análisis operativo, la delincuencia grave y organizada, la ciberdelincuencia, la lucha antiterrorista, así como la tecnología de la información. El objetivo de este informe es examinar los resultados de los talleres especializados de expertos y concienciar sobre el impacto que los LLM pueden tener en el trabajo de la comunidad encargada de la aplicación de la ley. Dado que este tipo de tecnología está experimentando un rápido progreso, este documento ofrece además una breve perspectiva de lo que aún puede estar por venir y destaca una serie de recomendaciones sobre lo que puede hacerse ahora para prepararse mejor para ello.

Armados con ChatGPT, los ciberdelincuentes crean malware y traman falsos bots de chicas

Brewster, Thomas. «Armed With ChatGPT, Cybercriminals Build Malware And Plot Fake Girl Bots». Forbes. Accedido 27 de enero de 2023.

Ver original

Los usuarios de foros clandestinos empiezan a compartir malware codificado por la sensación viral de OpenAI y los estafadores de citas planean crear falsas chicas convincentes con la herramienta. Los pronosticadores cibernéticos predicen que se avecinan más usos maliciosos de ChatGPT.

Los ciberdelincuentes han empezado a utilizar ChatGPT, el chatbot de inteligencia artificial de OpenAI, para crear rápidamente herramientas de pirateo informático, advirtieron el viernes investigadores en ciberseguridad. Los estafadores también están probando la capacidad de ChatGPT para construir otros chatbots diseñados para hacerse pasar por mujeres jóvenes con el fin de captar objetivos, según declaró a Forbes un experto que monitoriza foros de delincuentes.

Muchos de los primeros usuarios de ChatGPT habían dado la voz de alarma ante la posibilidad de que la aplicación, que se hizo viral en los días posteriores a su lanzamiento en diciembre, pudiera codificar software malicioso capaz de espiar las pulsaciones del teclado de los usuarios o crear ransomware.

Según un informe de la empresa de seguridad israelí Check Point, los foros clandestinos de delincuentes han terminado por darse cuenta. En uno de los foros analizados por Check Point, un hacker que ya había compartido malware para Android mostraba un código escrito por ChatGPT que robaba archivos de interés, los comprimía y los enviaba a través de la web. Mostraron otra herramienta que instalaba una puerta trasera en un ordenador y podía cargar más malware en un PC infectado.

En el mismo foro, otro usuario compartió un código Python que podía cifrar archivos, afirmando que la aplicación de OpenAI les había ayudado a construirlo. Afirmaban que era el primer script que habían desarrollado. Como señaló Check Point en su informe, dicho código puede utilizarse con fines totalmente benignos, pero también podría «modificarse fácilmente para cifrar la máquina de alguien por completo sin ninguna interacción del usuario», de forma similar a como funciona el ransomware. El mismo usuario del foro había vendido anteriormente acceso a servidores de empresas pirateados y datos robados, señaló Check Point.

Un usuario también habló de «abusar» de ChatGPT haciendo que ayudara a codificar las características de un mercado de la web oscura, similar a los bazares de drogas como Silk Road o Alphabay. Como ejemplo, el usuario mostró cómo el bot de chat podía crear rápidamente una aplicación que monitorizara los precios de las criptomonedas para un sistema de pago teórico.

Alex Holden, fundador de la empresa de inteligencia cibernética Hold Security, dijo que había visto a estafadores de citas empezar a utilizar ChatGPT también, ya que tratan de crear personajes convincentes. «Están planeando crear chatbots para hacerse pasar sobre todo por chicas para llegar más lejos en los chats con sus marcas», dijo. «Intentan automatizar la charla ociosa».

OpenAI no había respondido a la solicitud de comentarios en el momento de la publicación.

Aunque las herramientas codificadas por ChatGPT parecían «bastante básicas», Check Point dijo que era sólo cuestión de tiempo hasta que hackers más «sofisticados» encontraran la forma de convertir la IA en su ventaja. Rik Ferguson, vicepresidente de inteligencia de seguridad de la empresa estadounidense de ciberseguridad Forescout, dijo que no parecía que ChatGPT fuera aún capaz de codificar algo tan complejo como las principales cepas de ransomware que se han visto en importantes incidentes de piratería informática en los últimos años, como Conti, tristemente célebre por su uso en la violación del sistema nacional de salud de Irlanda. La herramienta de OpenAI, sin embargo, reducirá la barrera de entrada para que los novatos se introduzcan en ese mercado ilícito mediante la creación de malware más básico, pero igualmente eficaz, añadió Ferguson.

También planteó la preocupación de que ChatGPT, en lugar de crear código que robe los datos de las víctimas, pueda utilizarse para crear sitios web y bots que engañen a los usuarios para que compartan su información. Podría «industrializar la creación y personalización de páginas web maliciosas, campañas de phishing muy selectivas y estafas basadas en ingeniería social», añadió Ferguson.

Sergey Shykevich, investigador de inteligencia de amenazas de Check Point, declaró a Forbes que ChatGPT será una «gran herramienta» para que los hackers rusos que no dominan el inglés elaboren correos electrónicos de phishing de apariencia legítima.

En cuanto a las protecciones contra el uso delictivo de ChatGPT, Shykevich dijo que, en última instancia y «por desgracia», tendrían que aplicarse mediante regulación. OpenAI ha implementado algunos controles, como la prevención de solicitudes obvias de ChatGPT para crear programas espía con advertencias de infracción de la política, aunque los hackers y los periodistas han encontrado formas de eludir esas protecciones. Shykevich afirma que quizá haya que obligar legalmente a empresas como OpenAI a entrenar a su IA para detectar este tipo de abusos.

Normas de cumplimiento sobre la información sensible y valiosa creada, gestionada y almacenada por los investigadores de las universidades de Estados Unidos

Cynthia Hudson-Vitale and Katherine Klosek. New US Federal Compliance Rules for Sensitive Information. ACRL, 2021

Texto completo

La Asociación de Bibliotecas de Investigación (ARL) ha publicado hoy este Issue Brief: New US Federal Compliance Rules for Sensitive Information que incluye detalles sobre las normas actuales y la actividad en la política de información y las prácticas de ciberseguridad relacionadas en las instituciones de investigación de Estados Unidos y las agencias federales.

Varias agencias federales de los Estados Unidos, en particular el Departamento de Defensa, están avanzando hacia la exigencia de certificaciones o evaluaciones de ciberseguridad, con implicaciones potencialmente significativas para la empresa de investigación de la educación superior.

Una gran cantidad de información sensible y valiosa es creada, gestionada y almacenada por los investigadores de las universidades de Estados Unidos. Cada vez más esta información es digital, lo que significa que las prácticas eficaces de ciberseguridad han crecido en importancia y visibilidad. Para los datos y la información producidos como parte de una actividad de investigación financiada por el gobierno federal de los Estados Unidos, la salvaguarda de la información controlada, clasificada y no clasificada (CUI) está sujeta a normas y reglamentos federales específicos. Tanto las propias normas y reglamentos, como las decisiones que toman los financiadores federales sobre su aplicabilidad, han cambiado sustancialmente en los últimos años. Sin embargo, estas cuestiones no son nuevas. Las instituciones ya estarán familiarizadas con la normativa gubernamental que regula el trabajo que entra en el ámbito del Reglamento sobre el Tráfico Internacional de Armas (ITAR), la investigación clasificada a varios niveles y los controles de la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) relativos a los datos biomédicos de los pacientes, aunque algunas instituciones han optado por no albergar investigaciones sujetas a algunos de estos controles. La ciberseguridad efectiva también desempeña un papel vital en cumplimiento institucional de los requisitos de privacidad federales y estatales, así como de las mejores prácticas en general.

Informe Ciberamenazas y Tendencias. Edición 2020

Informe Ciberamenazas y Tendencias. Edición 2020. CCN-CERT, 2020

Texto completo

El CCN-CERT ha presentado su nuevo Informe Ciberamenazas y Tendencias. Edición 2020, en el que recoge los principales incidentes, agentes de la amenaza y métodos de ataque empleados a lo largo tanto de este año como de 2019. Además, en el documento se exponen aquellas tendencias que han marcado y seguirán marcando 2020.

En esta nueva edición del Informe se destaca el que ha sido indudablemente un elemento disruptivo: la pandemia de COVID-19 sufrida en todo el mundo. Esta situación ha influido, desde múltiples puntos de vista, en el panorama de la ciberseguridad global; en especial, ha sido aprovechado por actores hostiles para, al amparo de la situación sufrida, potenciar desde operaciones de influencia o robo de información hasta campañas de ransomware.

Asimismo, otros elementos que destaca el informe son los siguientes:

  • Incremento de las acciones ligadas a actores Estado en el ámbito de las operaciones de influencia, propaganda, desinformación…
  • Mejora significativa de las capacidades técnicas y operativas de actores ligados a la delincuencia económica (fraude al CEO, Human Operated Ransomware…).
  • Incremento de los impactos contra sistemas ciberfísicos, bien como objetivo final, bien como daño colateral en ataques a infraestructura IT.
  • Explotación de sistemas expuestos a Internet por todo tipo de actores, hecho que se ha visto incrementado por la situación de pandemia y el incremento del teletrabajo (y la exposición no controlada de muchas organizaciones a Internet).
  • Refuerzo de la normativa y regulación del ámbito de la seguridad, tanto en España como en el panorama internacional.
  • Necesidad, y tendencia, de los elementos ligados a inteligencia artificial en el ámbito de la seguridad, tanto para los atacantes como para los defensores.

Aplicaciones de la tecnología blockchain en el futuro de las bibliotecas

 

almanhirsch_300

Sandra Hirsh y Susan Alman. Blockchain (Library Futures Series, Libro 3). ALA, 2019

Ver en ALAStore

 

El uso más comúnmente conocido de blockchain es para criptomonedas como Bitcoin, sin embargo, hay muchos otros usos para esta tecnología. Con su alto nivel de transparencia y precisión, la tecnología blockchain es un concepto con implicaciones de largo alcance para el futuro del mantenimiento de registros. 

 

En el último volumen de Library Futures Series,, Sandra Hirsh y Susan Alman presentan los desafíos y oportunidades de blockchain. Recientemente tuvimos la oportunidad de hablar con ellos sobre cómo se interesaron originalmente en la tecnología y hacia dónde la ven a continuación.

Se trata de una larga cadena de entradas de datos que son teóricamente inmutables porque la criptografía se utiliza para proteger los datos. Blockchain utiliza una base de datos distribuida (múltiples dispositivos no conectados a un procesador común) que organiza los datos en registros (bloques) que tienen validación criptográfica. Los datos están marcados con el tiempo y vinculados a registros anteriores para que solo puedan ser modificados por quienes poseen las claves de cifrado para escribir en los archivos.

La función hash genera una referencia cada vez que se agrega un bloque a la cadena creando una marca de fecha / hora. El alto nivel de transparencia dificulta la corrupción a menos que más del 51% de la potencia de cómputo (hashing) esté controlada por uno o más grupos que trabajan juntos dentro de una red blockchain. No hay intermediarios que permitan la auto soberanía de los datos y la colaboración entre los usuarios.

¿Cuáles serían los posibles usos en bibliotecas?

IDEA # 1  identificación verificada

Otros usos están relacionados con la identificación verificada de personas que no tienen hogar, son transitorias, inmigrantes, desplazadas o que se encuentran fuera de su hogar habitual  y necesitan todo tipo de recursos de información que incluyan apoyo para la alfabetización, integración comunitaria, desarrollo de nuevas habilidades, servicios de empleo, investigación, ayuda en caso de desastres y entretenimiento. Las bibliotecas pueden proporcionar servicios a estas comunidades que no pueden obtener en ningún otro lugar; sin embargo, en la mayoría de los casos, estas personas no pueden obtener una tarjeta de la biblioteca. Este problema se puede resolver mediante el uso de un sistema interoperable basado en blockchain que integraría a todos los tipos de sistemas de biblioteca y una identidad digital verificada segura que se puede usar en las bibliotecas participantes para obtener acceso a la información. Blockchain se utilizará para proporcionar acceso sin gravámenes a contenido digital y colecciones impresas a todos los usuarios potenciales en los sistemas de bibliotecas participantes, mientras se gestiona el riesgo para garantizar que la privacidad y la identidad personal de cada usuario sean seguras. Sovereign Identity (SSI) es una aplicación blockchain que permite a un individuo u organización tener la propiedad y el control exclusivos de sus identidades digitales y analógicas. Los esfuerzos de alfabetización informacional e inclusión digital mejorarán a medida que los usuarios obtengan acceso a todos los recursos en esas bibliotecas mediante la creación de su identidad digital segura y privada.

IDEA # 2. Préstamo interbibliotecario.

Blockchain podría usarse para desarrollar un programa piloto internacional de préstamo interbibliotecario para el sistema de cupones de la Federación Internacional de Asociaciones de Bibliotecas (IFLA). IFLA proporciona vales reutilizables para ayudar a las bibliotecas a pagar fácilmente las solicitudes internacionales de préstamos interbibliotecarios. Cada comprobante representa un pago estándar para una transacción. Blockchain se adecuaría bien al préstamo interbibliotecario internacional debido a las transacciones en moneda extranjera que se realizan como parte de este intercambio de Préstamo Interbibliotecario (blockchain facilitaría las transacciones financieras extranjeras) debido a la propia naturaleza transaccional de los préstamos interbibliotecarios en general.

IDEA # 3. Precisión y consistencia de los datos 

Blockchain podría usarse para determinar la precisión y consistencia (validez) de los datos durante su ciclo de vida. Esto implicaría comparar el hash de los registros originales con un hash registrado en la cadena de bloques. Si los dos «hashes» no coinciden, los registros se han modificado de alguna manera.

Algunos expertos dicen que blockchain es malo para el medio ambiente, señalando su alto consumo de energía y su huella de carbono, mientras que otros afirman exactamente lo contrario, argumentando que blockchain podría ser sostenible porque conduciría a un aumento significativo en la transparencia, la eficiencia y la responsabilidad de la información.