Internet botów. Cyberprzestrzeń coraz mniej nasza
Według wyników badań opublikowanych w maju 2023 r. przez firmę Imperva, zajmującą się cyberbezpieczeństwem, czyli dziesiątego dorocznego „Bad Bot Report”, w ostatnich latach tempo spadku udziału ludzi w ruchu internetowym przyspiesza. Dane ujawniają wyraźny wzrost zautomatyzowanej, w tym także złośliwej aktywności w sieci w 2022 r., przy czym odsetek ruchu ludzkiego spadł w ubiegłym roku do najniższego poziomu od ośmiu lat. Zdaniem analityków firmy, liczebność tak zwanych „złych botów” (2) osiągnęła najwyższy poziom, odkąd zaczęto śledzić to w 2013 r. „Technologia botów, wraz z pojawieniem się sztucznej inteligencji generatywnej, będzie ewoluować w jeszcze większym, jeszcze bardziej niepokojącym, tempie w ciągu najbliższych 10 lat”, mówił Karl Triebes, wiceprezes Imperva.
Aktywność owych „złych” botów ma wiele form, od spamu, który zapycha skrzynki odbiorcze poczty e-mail, po zaawansowane systemy, które przeprowadzają ataki w celu włamania się do wiadomości e-mail lub kont internetowych. Niektóre boty naśladują nawet ludzkie zachowania, by uniknąć wykrycia przez oprogramowanie zabezpieczające. Rozwijająca się i szybko ucząca AI pomaga im w tym. Innym niepokojącym zjawiskiem odnotowanym w raporcie był wzrost liczby botów wykorzystywanych w działaniach wojennych. Zanotowano np. 145-procentowy wzrost zautomatyzowanych ataków na ukraińskie aplikacje internetowe od początku 2022 roku. Prawdopodobnie miały one na celu zakłócenie krytycznej infrastruktury kraju, począwszy od energetyki i telekomunikacji, a skończywszy na sektorach transportu i finansów.
Raport ujawnia, że w 2022 r. 47,4% całego ruchu internetowego pochodziło od botów, co stanowi wzrost 5,1% w porównaniu z danymi tej samej firmy z roku poprzedniego. Czwarty rok z rzędu rósł wolumen ruchu złośliwych botów, sięgając 30,2%, co zarazem stanowi wzrost o 2,5% w stosunku do 2021 roku. W 2022 r. odsetek złośliwych botów sklasyfikowanych jako „zaawansowane” stanowił 51,2% całego ruchu złośliwych botów. Dla porównania, poziom zaawansowania złych botów w 2021 r. wynosił 25,9%. Spośród 13 krajów przeanalizowanych w raporcie, w siedmiu poziom ruchu złośliwych botów przekroczył globalną średnią wynoszącą 30,2%. Niemcy (68,6%), Irlandia (45,1%) i Singapur (43,1%) znalazły się w pierwszej trójce, zaś Stany Zjednoczone również przekroczyły średnią na poziomie 32,1%.
Do penetrowania sieci i podtrzymywania aktywności
Najstarsze znane boty internetowe wiąże się z pojawieniem się usługi Internet Relay Chat. Pierwszymi botami używanymi na IRC w około 1988 roku były Puppe Jyrkiego Alakuijali, Game Manager Grega Lindahla (dla gry Hunt the Wumpus) i Bartender Billa Wisnera. Wczesne boty IRC zapewniały zautomatyzowane usługi użytkownikom i rezydowały w kanale, aby zapobiec zamknięciu serwera z powodu braku aktywności.
Pierwszym botem używanym do indeksowania stron internetowych był WebCrawler, stworzony w 1994 roku. Po raz pierwszy został użyty przez AOL w 1995 roku, a potem nabyty przez wyszukiwarkę Excite w 1997 roku. Najbardziej znany później crawler internetowy, Googlebot, został pierwotnie nazwany BackRub, kiedy powstał w 1996 roku. Jednymi z najwcześniejszych programów botnetowych były Sub7 i Pretty Park, trojanem i robak systemowy, udostępnione w sieci IRC w 1999 roku. Celem tych botów było potajemne instalowanie się na maszynach podczas łączenia się z kanałem IRC w reagowania na złośliwe polecenia. Kolejny znany botnet, GTbot, pojawił się w sieci IRC w 2000 roku i był zdolny do przeprowadzania jednych z pierwszych ataków typu denial of service (DoS). W kolejnych latach twórcy botnetów byli w stanie wykorzystywać zainfekowane maszyny do przeprowadzania różnych ataków, takich jak ransomware i kradzież informacji.
Z biegiem czasu botnety migrowały z IRC, komunikując się za pośrednictwem HTTP, SSL i ICMP. Jeden z największych botnetów, który pojawił się w 2007 roku, nosił nazwę Storm. Szacuje się, że bot ten zainfekował do 50 milionów komputerów i był wykorzystywany do wielu rodzajów przestępstw, w tym oszustw giełdowych i kradzieży tożsamości. Botnety odegrały ważną rolę w epidemii spamu. W 2009 r. botnet o nazwie Cutwail był wykorzystywany do wysyłania 74 miliardów spamu dziennie.
Z drugiej strony, internet, jaki znamy dzisiaj, nie byłby możliwy bez botów. Roboty indeksujące, takie jak Googlebot, pozwalają nam szybko znaleźć najbardziej przydatne informacje, przeszukując miliony stron internetowych w ciągu kilku sekund. Korzystanie z chatbotów stało się powszechne, a niekiedy niezbędne w wielu usługach w sieci.
Warto pamiętać, że internetowe boty to programy, które zostały napisane tak, aby naśladować ludzkie zachowanie. W wersji pożytecznej używane są do automatyzacji zadań, takich jak obsługa klienta lub indeksowanie wyszukiwarek. Ich forma znana od lat jako chatboty służy do zautomatyzowanego odpowiadania na zapytania użytkowników bez konieczności angażowania pracowników działu obsługi klienta. Innym popularnym rodzajem bota jest bot zakupowy, który np. porównuje ceny tego samego produktu w wielu różnych sklepach internetowych.
Tych „złych” jest sporo „gatunków”, np. boty społecznościowe, wykorzystywane do wykonywania zadań, takich jak zawyżanie liczby wyświetleń lub polubień postów, rozpowszechnianie dezinformacji lub wpływanie na dyskusje na platformach mediów społecznościowych. Kolejny nieprzyjemny typ to boty wyłudzające kliknięcia, generujące fikcyjny ruch reklamowy. W świecie reklamy internetowej jednym z najpopularniejszych modeli reklamowych jest płatność za kliknięcie, w którym reklamodawca musi uiścić opłatę w zależności od tego, ile osób obejrzy reklamę. Boty zawyżają tę liczbę kliknięć, czyli służą do oszukiwania reklamodawcy.
W 2021 r. Rosjanin Aleksandr Żukow został uznany za winnego oszukiwania sieci reklamowych poprzez publikowanie reklam w fałszywych wersjach stron internetowych, m.in. „New York Timesa” i „New York Daily News”, i wyświetlanie tych reklam botom zamiast prawdziwym ludziom.
Znane są też boty DDoS (Distributed Denial-of-Service - rozproszona odmowa usługi). Te służą do zalewania stron internetowych fałszywym ruchem, w celu blokowania ich prawdziwym użytkownikom. W dużych masach mogą wręcz wyłączyć serwisy. Jednym z najbardziej znanych przykładów jest MyDoom. Ten wirus komputerowy wysyła wiadomości spamowe na adresy e-mail zebrane z zainfekowanych urządzeń, a następnie wykorzystuje zainfekowane komputery do przeprowadzania ataków DDoS.
Jednym z powodów gwałtownego wzrostu aktywności botów jest to, że coraz trudniej jest je rozpoznać i rozróżnić, co jest botem, a co nie. Szczególnie dotyczy to botów społecznościowych, istnieją algorytmy wykrywania botów. Narzędziom tym nie można jednak ufać na 100%. Najpopularniejsze narzędzie do wykrywania botów, Botometer, uznało konto Elona Muska na Twitterze za podobne do bota, uznając jest botem z prawdopodobieństwem 4/5.
Do walki z botami opracowano CAPTCHA, czyli Completely Automated Public Turing test to tell Computers and Humans Apart. To mechanizm używany do określenia, czy użytkownik jest człowiekiem, czy botem, z którym zetknął się zapewne każdy użytkownik internetu. Strony internetowe zaczęły korzystać z testów CAPTCHA, aby uniemożliwić zautomatyzowanemu oprogramowaniu zalogowanie, a następnie spamowanie i blokowanie sekcji komentarzy na stronie internetowej, masowe kupowanie przedmiotów i wiele innych działań paraliżujących działalność serwisów i firm.
Z przeprowadzonej w marcu 2023 r. prezentacji czwartej wersji modelu GPT firmy OpenAI wynika, że potrafi on rozpoznawać zawartość obrazów i „rozumieć”, co się na nich znajduje. Oznacza to, że popularna forma testu, rozpoznającego w internecie człowieka, może całkowicie stracić skuteczność.
Od niedawna ChatGPT (a wkrótce podobne boty AI) mogą zarówno korzystać ze stron internetowych, jak i tworzyć strony internetowe. Ludzie zaczną używać go do przeglądania sieci bez nich, następnie do budowania sieci bez nich, a na koniec do budowania sieci zaprojektowanej do korzystania bez nich. Asystenci AI, czyli rozwinięta forma botów, jak się przewiduje, staną się potężniejsi zarówno dzięki wzmiankowanemu zaawansowanemu modelowi językowemu GPT-4, jak też kolejnym wersjom coraz bardziej zaawansowanych modeli sztucznej inteligencji, które nieuchronnie nadchodzą.
Gdy staną się tak dobrzy jak ludzie w wykonywaniu kolejnych zadań, robienie czegokolwiek po staremu „ręcznie”, bez pomocy bota AI - prawdopodobnie zacznie wydawać się stratą czasu, niepotrzebną ekstrawagancją. I tak zapewne oddamy botom kolejne połacie cyberprzestrzeni aż do momentu, gdy będzie ona głównie „ich”, a nie nasza.
Mirosław Usidus
