生成式AI是資安的「注意」或助益？
現在熱搜的話題ChatGPT（Generative Pre-trained Transformer），其應用的討論範圍不只於聊天機器，也在於寫文章、創作歌曲，以及校園中的「寫作業」等，包含報告、程式設計，雖然傳統AI應用在於技術上的深度學習跟機器學習，而此時Open AI使用的LLM（Large Language Model, 大型語言模型），又將AI運用推升躍進，推出GPT3.5版本以上的生成式AI，似乎已到了以人類思考、學習進行創作，以及回覆提問者「結果」的程度。
當生成式AI導入商業運用，資訊安全問題如何因應？
科技的進步讓人類生活變得便利，甚至單調、機械式的工作機會，也都陸續被AI、Bot（機器人）取代，不到10年，有多少科技創新，「元宇宙」、「MR（混合實境）∕AR（擴增實境）」、「區塊鏈」，以及「雲端」、「Open Data（開放資料）」，到現在，這些「新」科技都還沒有廣泛被應用導入，而GPT-1從2018年問世，以NLP（Natural Language Pre-trained, 自然語言處理），2019 GPT-2，到2023.3最新版的GPT-4，LLM大型語言的訓練模式，讓ChatGPT變得更有智慧跟應對，技術還在演進，可是一些追新族就迫不急待要想導入商業運用，因此現在談論對於資訊安全（Cyber Security）的衝擊是正面的助益？還是負面的需要被注意？我就以目前階段的應用層面跟各位分享並交流。
提醒各位在數位科技時代的此時，資安問題所衍生的信任機制變成無可迴避，影音串流讓影像、聲音的視聽變得更便利，相對的資訊竄流到資訊爆炸，人們就必須判斷資訊的真偽，因為假訊息已經到擾亂日常生活！但也同時讓自己的個資流放在各個應用系統（APP）當中，駭客在這樣的開放環境中穿針引線，會讓資安事件的發生頻率增快，每年幾乎都以40～50％的事件量在增加，而每次的重大資安事件都是Unprecedent（前所未見），GPT無法事先的訓練，所以每一次資安事件在發生後才有新的防護，以防毒軟體所製作的解藥（Antidose），也是在未知型病毒被採樣後，才能進一步產生下一個新版的解藥，得以更新修補程式，駭客在此同時，享受並應用科技創新所帶來的便捷，盡可能找出漏洞進行突破，魔跟道是同時在進行攻防的。
釣魚郵件與詐騙電話透過CHATGPT將快速發展，法律層面風險再提升
就在ChatGPT被廣泛應用下，其創造（創作）能力就愈強，這樣的知識能力，在於使用者給予的「訓練」，以及從網路上蒐集並搜尋資料，不知道各位是否聽過石頭湯的故事：「有一位主人找了朋友來家裡吃火鍋，主人跟朋友說大家帶一些火鍋料下鍋煮，其他東西則是主人會準備；果然朋友們帶來滿滿鍋料，而主人則準備了一個大鍋子跟滾燙燒過的石頭，丟到鍋水當中，熱滾滾的水把火鍋料給煮熟，大家就可以飽餐一頓。」因此，最近被熱烈討論的ChatGPT，更可加速其平台訓練的資料，運算環境更完備，讓預先訓練的時程更縮短，但其訊息、聲音，以及影像，已經讓假訊息詐騙的變化更加快速，對釣魚郵件以及詐騙電話（自動客服）的數量必定會增加，甚至假冒名人的影片進行詐財的投資理財也會讓人困擾，已經到達法律層面的風險。FinTech（金融科技）推展如此之久，並沒有收到實質業務程序上的數位化，單就開戶這個程序，就必須到銀行臨櫃完成，雙證件、兩式憑一式簽章，以及鏡頭攝影本尊，這樣的作業原本在網銀開戶就可以完成，用影像判別技術完成上述程序，卻無法確認本人跟開戶個人是否同一人，Deepfake（深度詐欺）可以輕易模擬影像，因為AI學習可以生成擬真肖像，若後續有不法情事（洗錢或人頭帳戶），銀行金融業的損害責任賠償將無法估計。
對於GPT的LLM技術，是否可以對資安防護有所助益？
如果是對ChatGPT提問，則不失為一種資安意識的教育訓練，但以GPT要建構資安防護，將自動回應阻擋機制與GPT整合，前端的規則關聯，以及事件過濾就得非常謹慎，因為從資安設備以及軟體、工具日誌收集的攻擊戰略與技術必須有專家分析，必要時還必須透過鑑識比對找出可疑攻擊，有些攻擊是針對性的惡意程式，也有些則是零時差的攻擊（0-Day Attack），防毒軟體都沒有察覺！！而另一個可以規劃的，則是報表自動化，檢測、弱掃所產生的報表，必須經過專家解讀、摘要，將其報告中述及的弱點分成緊急（Critical）、高（High），進而彙集成對客戶的報告，將報告逐步訓練GPT，使其之後在讀取原始報告後可以產製服務報表，但要注意的是資料是否去識別化，因為原始日誌中的網址IP，以及客戶名稱等屬於資料保護範圍，令其當成訓練原始資料（Data）將會有資訊外洩的風險，因為無法預測GPT在讀取大量日誌後其他原始日誌的去向！！再則有另外付費API的落地版本，在不同版本更新時開放下載時，如何確保僅僅是程式下載？由於其中讀取資料的引擎都是在雲端，如何更透明化，是商業應用及資安防護所必須了解，以及可被信任的。
因此，目前GPT在商業甚至軍事武器的運用或導入，應該是兩極的，有一些國家組織計畫成立稽核監督，像是即時影像辨別或軍事武器其侵犯個人隱私，甚至是無差別攻擊，有些企業也禁止在公司內部使用，有些學校則接受學生的自由意志，但必須確保生成資料的正確性與否！！「近朱者赤、近墨者黑」是大家耳熟能詳的成語，在訓練的資料餵入其對應的後果，可能就因為「毒蘋果」而讓整個目的扭曲或造成災難，是注意還是助益，是否就只能依靠使用者的存乎一心？ 我相信需要時間的觀察，不需要太早下定論。