譯者 | 布加迪

審校 | 重樓

公司企業正在竭力跟上網絡犯罪分子不斷創新的步伐。據本人所在公司VikingCloud的報告顯示，53%的公司承認自己沒有準備好防御新的基于人工智能的網絡攻擊方法。

隨著深度造假日益猖獗，技能方面的缺口正在進一步拉大，造成了新的準備不足和風險。

作為網絡犯罪分子手中最有力的新武器，深度偽造可以冒充從總統候選人到公司高管的任何人。它們可以散布錯誤信息或傳播高價值的欺詐騙局。而且它們正變得更難被發現，更容易被開發。

為了保護所在組織，企業領導者必須重新考慮自己的網絡培訓和防御方法。面對在人工智能優先的網絡安全環境中新的需求，這將是事關生存和發展的首要任務。

深度偽造泛濫的原因

深度偽造依賴社會工程伎倆，利用人類情感來引發它們想要的反應。

如果一名員工收到老板的電子郵件，要求他轉賬，該員工很可能已經受過學會識別騙局的培訓。但是當員工接到有“老板聲音”的電話，或者在Zoom通話時“看到”老板，又會發生什么？黑客的這種老練程度讓員工放松了警惕。

最近一名財務人員深有體會，他上當受騙，向冒充其公司首席執行官的騙子轉賬2500萬美元。這名員工起初懷疑這是網絡釣魚騙局，但在與其他公司員工通了電話后放心下來，殊不知這全是深度偽造的內容。

這一幕可能發生在任何公司身上，包括法拉利。這家公司差點成為深度偽造欺詐的受害者，原因是被盯上的精明高管問了騙子一個只有真正的首席執行官在線下對話中才能知道的問題。而其他公司就沒這么幸運了。英國一家能源公司的首席執行官被一名騙子利用人工智能模仿其母公司首席執行官的聲音，騙走了22萬歐元（約合23.8萬美元）。

問題在于，深度偽造被設計成用戶使用生成式對抗網絡（GAT）都無法檢測出來。在GAN中，一個人工智能模型生成虛假的圖像或音頻，另一個模型檢測它是否真實。人工智能模型之間這種貓捉老鼠的游戲一直持續下去，直到虛假內容與現實無從區分，這有助于犯罪分子繞過其他人工智能檢測系統。

當深度偽造內容抵達目標時，已經經歷了數千次迭代，變得盡可能強大。結果是：深度偽造的開發者與試圖阻止它們的人之間上演了一場軍備競賽。

更糟糕的是什么？如今，只要有一臺基本的游戲電腦，誰都可以制作深度偽造內容。犯罪分子不需要特殊的技術或專長，影響卻巨大。僅在2023年下半年，換臉攻擊就猛增704%。隨著網絡犯罪分子的進入門檻不斷放低，這個問題的嚴重性會繼續加大。

如何防范深度造假？

隨著深度造假技術日益興起，公司企業須加強防御基于人工智能的攻擊的能力。以下是奮力反擊的五個基本步驟：

1. 別信任保密和緊迫的請求。強調保密和緊迫性的請求是危險信號。培訓員工學會質疑溝通內容（比如電子郵件和視頻電話等）是否符合正常的公司流程，并驗證來自多個可信來源的信息。別害怕請求授權，即使提出請求的對方是更高層。人是網絡安全中最薄弱的環節。隨著這種攻擊變得越來越復雜，并利用社會工程伎倆，它們會繼續存在。

2. 加強身份驗證流程。簡單的電話、電子郵件或人臉識別不再是可信賴的身份驗證機制。實施額外的安全流程，比如多因素身份驗證。此外，使用私密的、可驗證的信息。想想那位法拉利高管如何利用線下談話中獲悉的私密信息。深度偽造永遠接觸不到這種信息。

3. 將深度偽造緩解機制整合到安全策略中。整合深度偽造檢測技術，建立快速識別和響應流程。深度偽造檢測工具使用人工智能來發現被操縱媒體中細微的不一致之處，比如面部運動的不規則性或可能逃過人類檢測的像素偽像。除了技術外，還必須定期更新安全策略以應對最新的深度偽造威脅，員工應該接受持續培訓，以有效識別和應對潛在的攻擊。

4. 執行紅隊測試。讓紅隊充分利用深度偽造工具來測試公司的防御。這有助于識別安全流程方面的弱點，這樣企業領導者可以更好地教育員工如何發現和應對潛在的威脅。

5. 仔細篩選供應商。網絡犯罪分子通常將第三方供應商和平臺視為伺機潛入大組織的一條途徑。到2031年，供應鏈網絡攻擊給公司企業造成的年度成本預計將達到1380億美元。確保所有供應商都采取了措施，以保護自己免受深度偽造和其他基于人工智能的攻擊。及早發現是關鍵。第三方系統的漏洞很容易演變成更大范圍的網絡攻擊。

未來前瞻

向企業領導者傳達的信息很明確：人工智能深度偽造的威脅是切實存在的，而且愈演愈烈。

如果合適的防御機制到位：警惕、先進的身份驗證流程，及時更新的安全策略以及徹底的供應商篩選，企業領導者可以保護其組織避免成為下一個受害者，就有可能在這場高風險的軍備競賽中智勝網絡犯罪分子。

在深度偽造開發者與網絡安全團隊之間的這場較量中，但愿好人獲得勝利。

原文標題：Deepfakes Are The New Frontier Of Cyberattacks: 5 Steps To Fight Back，作者：Rick Hutchinson