Der Cybersicherheitsforscher Mohan Pedhapati berichtete, erklÀrte, wie er mit dem KI-Modell Anthropic Claude Opus 4.6 eine vollstÀndige Exploit-Kette zur Ausnutzung der JavaScript V8-Engine im Google Chrome 138, auf dem der aktuelle Discord-Client lÀuft, erstellt hat.
Der Prozess zur Erstellung der Exploit-Kette dauerte eine Woche, berichtete der Forscher â dabei wurden 2,3 Milliarden Tokens und 2283 $ fĂŒr den Zugang zum KI-Modell ĂŒber die API ausgegeben; er investierte auch eigene Zeit und verbrachte insgesamt 20 Stunden damit, Probleme bei der Lösung von Deadlocks zu beheben. Die Kosten fĂŒr die Erstellung des Exploit-Schemas erscheinen fĂŒr einen Einzelnen erheblich, rĂ€umte Mohan Pedhapati ein; andererseits hĂ€tte eine Person ohne externe Hilfe an einem Ă€hnlichen Projekt mehrere Wochen arbeiten mĂŒssen. Das Projekt war auch wirtschaftlich erfolgreich â die Belohnung von Google und Discord fĂŒr die Meldung eines solchen Exploits könnte etwa 15.000 $ betragen. Und das ist nur der legale Markt â fĂŒr eine Zero-Day-Schwachstelle hĂ€tten Cyberkriminelle möglicherweise höhere Summen bezahlt.
Viele Dienste setzen bei der Entwicklung ihrer Anwendungen auf das Electron-Framework, das seinerseits auf Chrome basiert. Das trifft nicht nur auf Discord zu, sondern auch beispielsweise auf Slack. Das aktuelle Framework hinkt jedoch um eine Version hinter dem Browser hinterher, und die App-Entwickler aktualisieren ihre AbhĂ€ngigkeiten hĂ€ufig nicht zeitnah, wĂ€hrend die Nutzer nicht immer die neuesten Versionen der Anwendungen installieren. Der Discord-Client, den dieser Nutzer verwendet, basiert auf Chrome 138, also liegt er neun Hauptversionen hinter der aktuellen Browser-Version zurĂŒck.
Jeder angehende Programmierer kann, so Mahon Pedhapati, mit genĂŒgend Geduld und einem API-SchlĂŒssel fĂŒr den Zugang zum KI-Modell veraltete Software hacken â âes ist eine Frage der Zeit, nicht der Wahrscheinlichkeitâ. DarĂŒber hinaus ist âjeder Patch im Grunde ein Hinweis auf einen Exploitâ, da Open-Source-Projekte transparent entwickelt werden und Korrekturen oft im Code verfĂŒgbar sind, noch bevor die aktualisierte Version der Software herausgegeben wird. Um Anwendungen vor solchen Angriffen zu schĂŒtzen, empfiehlt der Experte, die AbhĂ€ngigkeiten genau zu beobachten und Ănderungen zeitnah vorzunehmen sowie Sicherheits-Patches automatisch herauszugeben, damit die Benutzer-Software nicht verwundbar bleibt, falls das Update einfach vergessen wird. SchlieĂlich sollten Open-Source-Projekte vorsichtig sein, wenn sie detaillierte Informationen ĂŒber Schwachstellen veröffentlichen.
Quelle:
Quelle: 3dnews.ru
