Výzkumník v oblasti kybernetické bezpečnosti Mohan Pedhapati řekl, jak pomocí modelu umělé inteligence Anthropic Claude Opus 4.6 napsal kompletní řetězec exploitů pro hacknutí JavaScript V8 enginu v prohlížeči Google Chrome 138, na kterém běží aktuální klient Discord.
Proces psaní řetězce exploitů trval týden, sdělil výzkumník — bylo při tom využito 2,3 miliardy tokenů a $2283 za přístup k AI modelu přes API; také vynaložil vlastní úsilí, celkově strávil 20 hodin řešením problémů s deadlocky. Částka, za kterou bylo vytvoření schematu hacknutí, se zdá být značná pro jednotlivce, uznal Mohan Pedhapati; na druhou stranu, bez cizí pomoci by člověk na podobném projektu pracoval několik týdnů. Projekt se ukázal jako výhodný i z ekonomického hlediska — odměna od Google a Discordu za oznámení takového exploitu může činit kolem $15 000. A to je jen legální trh — za zranitelnost nultého dne by kyberzločinci mohli zaplatit jiné peníze.
Mnoho služeb vydává své aplikace na frameworku Electron, který je založen na Chromu — dělají to nejen v Discordu, ale například i ve Slacku. Jenže aktuální kód frameworku je o jednu verzi pozadu za prohlížečem a vývojáři aplikací ne vždy rychle aktualizují závislosti, a uživatelé také ne vždy instalují nejnovější verze aplikací. Klient Discord autor zkušeností zvolil, protože běží na Chromu 138, což znamená, že je o devět hlavních verzí pozadu za aktuální verzí prohlížeče.
Každý začínající programátor, uvádí Mohan Pedhapati, má při dostatečné trpělivosti a klíči API pro přístup k AI modelu schopnost hacknout neaktualizovaný software – „jde o otázku času, nikoli pravděpodobnosti“. Dále, „každá záplata je v podstatě nápovědou pro exploit“, protože projekty s otevřeným zdrojovým kódem jsou vyvíjeny transparentně, což znamená, že opravy jsou často veřejně dostupné v kódu ještě před tím, než je vydána aktualizovaná verze programu jako celku. Aby se aplikace ochránily před podobnými útoky, odborník doporučuje pečlivě sledovat závislosti a průběžně provádět změny, a také vydávat bezpečnostní záplaty automaticky, aby uživatelský software nezůstal zranitelný, pokud na instalaci aktualizace jednoduše zapomenou. Nakonec by projekty s otevřeným zdrojovým kódem měly být obezřetné při zveřejňování podrobných údajů o zranitelnostech.
Zdroj:
Zdroj: 3dnews.ru
