Der Cybersicherheitsforscher Mohan Pedhapati berichtete, erklärte, wie er mit dem KI-Modell Anthropic Claude Opus 4.6 eine vollständige Exploit-Kette zur Ausnutzung der JavaScript V8-Engine im Google Chrome 138, auf dem der aktuelle Discord-Client läuft, erstellt hat.
Der Prozess zur Erstellung der Exploit-Kette dauerte eine Woche, berichtete der Forscher – dabei wurden 2,3 Milliarden Tokens und 2283 $ für den Zugang zum KI-Modell über die API ausgegeben; er investierte auch eigene Zeit und verbrachte insgesamt 20 Stunden damit, Probleme bei der Lösung von Deadlocks zu beheben. Die Kosten für die Erstellung des Exploit-Schemas erscheinen für einen Einzelnen erheblich, räumte Mohan Pedhapati ein; andererseits hätte eine Person ohne externe Hilfe an einem ähnlichen Projekt mehrere Wochen arbeiten müssen. Das Projekt war auch wirtschaftlich erfolgreich – die Belohnung von Google und Discord für die Meldung eines solchen Exploits könnte etwa 15.000 $ betragen. Und das ist nur der legale Markt – für eine Zero-Day-Schwachstelle hätten Cyberkriminelle möglicherweise höhere Summen bezahlt.
Viele Dienste setzen bei der Entwicklung ihrer Anwendungen auf das Electron-Framework, das seinerseits auf Chrome basiert. Das trifft nicht nur auf Discord zu, sondern auch beispielsweise auf Slack. Das aktuelle Framework hinkt jedoch um eine Version hinter dem Browser hinterher, und die App-Entwickler aktualisieren ihre Abhängigkeiten häufig nicht zeitnah, während die Nutzer nicht immer die neuesten Versionen der Anwendungen installieren. Der Discord-Client, den dieser Nutzer verwendet, basiert auf Chrome 138, also liegt er neun Hauptversionen hinter der aktuellen Browser-Version zurück.
Jeder angehende Programmierer kann, so Mahon Pedhapati, mit genügend Geduld und einem API-Schlüssel für den Zugang zum KI-Modell veraltete Software hacken – „es ist eine Frage der Zeit, nicht der Wahrscheinlichkeit“. Darüber hinaus ist „jeder Patch im Grunde ein Hinweis auf einen Exploit“, da Open-Source-Projekte transparent entwickelt werden und Korrekturen oft im Code verfügbar sind, noch bevor die aktualisierte Version der Software herausgegeben wird. Um Anwendungen vor solchen Angriffen zu schützen, empfiehlt der Experte, die Abhängigkeiten genau zu beobachten und Änderungen zeitnah vorzunehmen sowie Sicherheits-Patches automatisch herauszugeben, damit die Benutzer-Software nicht verwundbar bleibt, falls das Update einfach vergessen wird. Schließlich sollten Open-Source-Projekte vorsichtig sein, wenn sie detaillierte Informationen über Schwachstellen veröffentlichen.
Quelle:
Quelle: 3dnews.ru
