週三，Google 公布了對五個最近使用 AI 技術生成的惡意軟體樣本的分析。這些 AI 開發的惡意程序的結果顯著低於專業惡意軟體的標準，這表明使用震撼編碼開發惡意軟體仍落後於傳統方法。因此，AI 生成的惡意軟體尚未構成實質威脅。
在樣本中有一款叫 PromptLock，表面上是作為一項學術研究的一部分，旨在評估使用大型語言模型自動協調勒索軟體攻擊的可行性。研究人員觀察到 PromptLock 展現出顯著的限制，如缺乏持久性、橫向移動和高級規避技術，使它更像是一個概念證明而非實際威脅。在研究發表之前，安全公司 ESET 將其認可為“首個 AI 驅動的勒索軟體”。
別被炒作迷惑
類似於其他 Google 仔細檢查的樣本——例如 FruitShell、PromptFlux、PromptSteal 和 QuietVault——PromptLock 即使面對依靠靜態簽名的基本端點保護也可被檢測出。所有五個樣本使用了熟悉的方法，這使得安全措施能夠容易反制。此外，它們並未造成操作影響，表明它們無需任何新的防禦策略。
“這告訴我們，生成式 AI 狂熱三年多來，威脅開發進展緩慢，”獨立研究員凱文·博蒙特在 Ars 如此評論。 “如果你正在為惡意軟體開發商付費，你會非常生氣地要求退款，因為這並不構成可靠威脅或向可靠威脅的發展。”
一位匿名的惡意軟體專家同意 Google 的發現，指出生成式 AI 的使用並未使惡意開發者在使用傳統開發技術的人面前獲得優勢。
“AI 沒有製造出比平常更可怕的惡意軟體，”這位專家評論道。“這只是幫助惡意軟體作者完成工作。沒有任何新奇之處。AI 肯定會變得更好。但何時以及在多大程度上還是未知數。”