专家介绍

恶意域名是指黑客利用域名注册服务商来注册的域名，这些域名可能用于攻击用户的网络安全或者可能用于传播恶意程序。

恶意域名的识别是一项非常重要的网络安全技术，用来检测和防止可能存在的攻击行为。当用户访问一个域名时，可以使用域名黑名单服务来检查这个域名是否是恶意域名。这些域名黑名单服务会定期更新，可以检测出最新注册的恶意域名。

首先，我们选择finalshell.nl域名，该域名被用于Sysrv-hello僵尸网络，Sysry-hello是一个Windows和Linux双平台挖矿木马。

下图是华为情报平台给出的域名识别结果，将其判定为恶意域名。

接下来，我们让ChatGPT识别。

继续追问理由，ChatGPT给出的理由是：根据VirusTotal的报告，该域名未被任何安全引擎标记为恶意。

然后，我们查询了VirusTotal的域名识别结果：

VirusTotal给出的结果是部分恶意，但是ChatGPT直接判定为非恶意。是不是过于武断了？

接下来我们看看ChatGPT识别DGA域名。

DGA域名是一种由僵尸网络恶意软件生成的随机域名，用于控制僵尸网络的恶意活动。它们的特点是每次生成的域名都不一样，这样恶意软件就可以持续运行，而不会被防火墙或其他安全解决方案检测到。

下图是华为情报平台给出的域名识别结果，将其判定为恶意DGA域名。

将该域名交给ChatGPT判定：

它的回答让我很吃惊。看来ChatGPT给出的不都是“非黑即白”的回答，也有“无法判断”的未知类型的回答。这个回答就涉及到AI领域的难题——开集识别。

开集识别简单定义是，一个在训练集上训练好的模型，当利用一个测试集进行测试时，如果输入已知类别数据，输出具体的类别，如果输入的是未知类别的数据，则进行合适的处理（识别为Unknown）。

在网络安全领域，发现未知威胁并及时阻断是当前安全用户面临的重要挑战。传统基于签名的检测很难发现未知威胁，而随着人工智能技术的迅速发展，越来越多的安全厂商开始将AI应用于威胁检测中。其中，开集识别是AI领域的一个难题，安全攻击识别问题大多是基于有监督的传统AI分类模型，以下图恶意文件检测为例，这种模型只能给出“非黑即白”的回答，没有“我不知道”这个结果。

而ChatGPT在识别DGA恶意域名的时候，却给出了“无法判断”这个表明是未知类型的回答，这就超出了传统AI分类模型的认知。

综上，ChatGPT识别恶意域名的能力为★☆☆☆☆，但是其开集识别能力在未知威胁检测中将会发挥很大的潜力。

最后，结合前面两篇文章的分析，我们回顾总结下ChatGPT的能力：

综合以上能力，ChatGPT在网络安全产品领域可以发挥作用的方面有：